Decide how to clear 28 npm Dependabot alerts that need a direct dependency bump or an override

Fermée
  • Quelque chose ne va pas ?
#1,574 1 commentaire 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Une pull request liée a déjà été fusionnée.

  • #1584 par @nedtwigg — fusionnée

Évaluation

Difficulté
4/5
Temps estimé
3-5 jours
Accessibilité débutants
35/100
Type d'issue
Fonctionnalité
Clarté
Plutôt claire
Activité
Active
Stack technique
github, node.js, typescript
Domaine
devops, security

Piste de recherche

Start with pnpm-lock.yaml and the dependency declarations for hosted and dor-tools-builtin; the issue names those packages and their version constraints but no source files or tests. Review the linked Dependabot alerts and the listed upstream options, then determine which alerts need a direct upgrade, an override, or dismissal. Done means all 28 alerts have a maintainer decision and the applicable alerts are cleared.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

security

28 of the 58 Dependabot alerts opened on pnpm-lock.yaml on 2026-11-03 can't be cleared by a lockfile-only bump. Each needs a maintainer decision: a direct-dependency upgrade, a pnpm.overrides entry, or a dismissal as not reachable. #1573 clears the other 30. Numbers below are Dependabot alert numbers.

Package Pinned by Fix Alerts
undici 7.29.0 [email protected] (direct devDependency of hosted), exact pin 7.30.1 24–33, 49, 51, 53, 57, 59, 61, 63, 65
sharp 0.35.2 the same miniflare, exact pin 0.35.5 22, 41
dompurify 3.4.15 [email protected] (latest release), exact pin 3.4.17 38, 40, 42, 43, 44 (44 critical)
katex 0.16.47 mermaid 11.17.2 (^0.16.47) 0.18.2 39
glob 10.5.0 / 13.0.6 dependents take ^10, ^13.0.1, ~13.0.0 14.0.2 67
minimatch 5.1.9 / 9.0.9 / 10.2.x dependents take ^5.1.0, ^9.0.4, ^10.2.2, ^10.2.6 11.0.1 68

Options seen so far:

  • miniflare is a dev/test dependency of Hosted, so undici and sharp there don't ship to users. Its latest tag (4.20260730.0) pins undici 7.28.0, which is also vulnerable, so moving channels doesn't help.
  • katex clears with mermaid 12.3.0 (^0.18.0), a major bump of a direct dor-tools-builtin dependency published 2026-11-03. It becomes adoptable under the 24-hour cooldown on 2026-11-04.
  • dompurify in monaco, glob, and minimatch have no in-range fix. Clearing them means an override past the dependent's declared range, or waiting for upstream.
Langage dominant
TypeScript
Étoiles
5
Forks
1
Merge moyen
10 h 54 min
PR mergées (30 j)
438

Préparer son environnement

Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de diffplug/dormouse

Toutes les issues de diffplug/dormouse

Issues similaires

Plus d'issues TypeScript

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.