es5-ext dependency is quarantined by Nexus Firewall, blocking hermetic builds
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 2/5
- Temps estimé
- 1-3 heures
- Accessibilité débutants
- 68/100
- Type d'issue
- Bug
- Clarté
- Clairement spécifiée
- Activité
- Calme
- Stack technique
- typescript, vscode
- Domaine
- build-system, devops
Piste de recherche
Commencez dans lib/vscode/package.json et suivez la chaîne de dépendances indiquée pour confirmer comment es5-ext est résolu. Appliquez le dependency override décrit dans l’issue, puis exécutez le build hermétique ou renforcé de récupération des dépendances afin de vérifier que le paquet mis en quarantaine n’est plus demandé.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Problem
The es5-ext npm package (both 0.10.63 and 0.10.64) has been quarantined by Nexus Firewall under advisory sonatype-2022-2248. Its _postinstall.js script makes network calls to geolocate the host and executes undisclosed code (classified as protestware). Both versions are flagged; there is no clean upstream version.
This blocks any hermetic/hardened supply chain build that prefetches npm dependencies through an artifact registry proxy, resulting in:
FetchError: 403, message='--- Requested item is quarantined ---'
url='https://artifact-registry-proxy.../npm-proxy/es5-ext/-/es5-ext-0.10.63.tgz'
Dependency chain
es5-ext enters code-server through the VS Code submodule (lib/vscode/):
gulp-sourcemaps→debug-fabulous→memoizee→es5-ext(build tooling, devDependency)- Also via
d,es6-iterator,es6-symbol,es6-weak-map,esniff,event-emitter,timers-ext
Upstream status
- microsoft/vscode#310541 — closed, maintainer said PRs welcome
- microsoft/vscode#160012 — older duplicate, also closed
- medikoo/es5-ext#186 — upstream protestware discussion (4 years old)
Suggested fix
Add an npm overrides entry in lib/vscode/package.json to alias es5-ext to @unes/es5-ext, a community fork that strips the postinstall script and rebases daily against upstream:
"overrides": {
"es5-ext": "npm:@unes/es5-ext@0.10.64-1"
}
We have implemented this fix in our downstream build at opendatahub-io/notebooks#3556.
- Langage dominant
- TypeScript
- Étoiles
- 79.4k
- Forks
- 6.9k
- Merge moyen
- 2 j 13 h
- PR mergées (30 j)
- 39
Guide de contribution
Ouvrir le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de coder/code-server
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 92/100
coder/code-server#8017 · 2 commentaires ·
-
Bump proxy-addr to 2.0.8 Ouvertesecurity
Difficulté 2/5 1-3 heures Accessibilité débutants 74/100
coder/code-server#8013 · 4 commentaires ·
-
enhancement
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
coder/code-server#7976 · 2 commentaires ·
-
enhancement
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 35/100
coder/code-server#7962 · 3 commentaires ·
-
bug needs-investigation
Difficulté 4/5 3-5 jours Accessibilité débutants 55/100
coder/code-server#7955 · 1 commentaire ·
Toutes les issues de coder/code-server
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100
-
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
mksglu/context-mode#1200 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
jaegertracing/jaeger-ui#4506 ·
-
area:desktop area:ui bug platform:macos
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
anthropics/claude-code#96687 ·
-
good first issue
Difficulté 1/5 Moins d'une heure Accessibilité débutants 95/100
AOSSIE-Org/DebateAI#582 · 2 commentaires ·