gleam-lang/gleam

Warn when a vulnerable package version is added as a dependency

Ouverte

#5 725 ouverte le 18 mai 2026

Voir sur GitHubGuide contributeur
 (2 commentaires) (0 réaction) (0 personne assignée)Rust (960 forks)batch import
help wanted

Métriques du dépôt

Stars
 (21 417 étoiles)
Métriques de merge PR
 (Merge moyen 10j 19h) (69 PRs mergées en 30 j)

Description

Hex now contains information on CVEs that we can use to display warnings when used. Let's use this information to display a warning when a newly resolved version of a dependency is vulnerable.

We could also have a command for showing vulnerabilities for the current package versions.

Reference implementation for Elixir: https://github.com/hexpm/hex/pull/1150

Guide contributeur

Direction de recherche
Examinez comment Hex collecte et fournit les donnees CVE, puis implementez un avertissement dans le resolveur de dependances de Gleam qui verifie les versions resolues par rapport aux vulnerabilites connues.
Stack technique
rustelixir
Domaine
backendsecurity
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-2 jours
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GleamRustHex package managerCVEs
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40