Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Migrating against 10.3.49 produces a repo that fails restore with NU1903 (resolved by 10.4.0 GA)

Aperta
  • Qualcosa non va?
#618 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 2 giorni

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
1/5
Tempo stimato
1-3 ore
Idoneità per principianti
35/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Tranquilla
Stack tecnologico
csharp
Ambito
build-system

Direzione di ricerca

Esegui un nuovo fallout-migrate rispetto a 10.4.0 GA, quindi esegui ./build.ps1 in un repository consumer configurato con TreatWarningsAsErrors. Verifica che il ripristino venga completato senza NU1903 e chiudi l'issue dopo la pubblicazione di 10.4.0 GA.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

bug target/vCurrent

@

Problem

Running fallout-migrate today produces a consumer repo that cannot restore. Two behaviours combine:

  1. ResolveFalloutVersionStep pins the latest stable release within the tool major → 10.3.49. Fallout.Common 10.3.49 depends on System.Security.Cryptography.Xml 10.0.6, which carries five high-severity advisories (GHSA-23rf-6693-g89p, GHSA-8q5v-6pqq-x66h, GHSA-cvvh-rhrc-wg4q, GHSA-g8r8-53c2-pm3f, GHSA-mmjf-rqrv-855v).
  2. RewriteCsprojsStep deliberately strips the consumer's explicit System.Security.Cryptography.Xml pin (intentional, #217, to avoid NU1605 downgrade errors).

So the migration removes the consumer's protection and pins them to the vulnerable transitive. On a repo with TreatWarningsAsErrors, ./build.ps1 fails restore immediately with 5× NU1903.

Reproduced end-to-end on FluentAssertions at its last NUKE commit (3eacba9^) with the 10.4.0-rc.5 tool. Corroborating evidence: FluentAssertions' own hand-done migration had to re-add System.Security.Cryptography.Xml 10.0.10 with a comment naming exactly this NU1903.

Outcome

No code change requested — 10.4.0 GA resolves this. Fallout.Common 10.4.0-rc.5 already depends on the patched System.Security.Cryptography.Xml 10.0.10, and ResolveFalloutVersionStep picks the latest stable in-major, so once 10.4.0 ships the migration will pin 10.4.0 and restore cleanly.

Filed to record the diagnosis so the 10.4 release notes can point consumers at it, and so the interaction is on record if the strip-the-pin behaviour is ever revisited for older targets.

Acceptance criteria

  • Confirm a fresh fallout-migrate run against 10.4.0 GA restores cleanly on a TreatWarningsAsErrors consumer
  • Close on 10.4.0 GA publish
    @
Lingua principale
C#
Stelle
172
Fork
21
Merge medio
4g 38m
PR unite (30g)
14

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di Fallout-build/Fallout

Tutte le issue di Fallout-build/Fallout

Issue simili

Altre issue su C#

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.