Dependency audit fails at high: bump vulnerable dependencies

Aperta
  • Qualcosa non va?
#463 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
68/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
node.js, typescript, vite
Ambito
devops, security

Direzione di ricerca

Start with pnpm why <module> for each listed vulnerable dependency and inspect the dependency declarations and lockfile. Bump dependencies or add pnpm.overrides where no patched version exists, following the tinypool override example in the shared actions repository. Run pnpm audit --audit-level high; done means the audit job passes.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

bug dependencies
Which package is this bug report for?

other

Issue description

pnpm audit --audit-level high fails on main: 37 advisories (4 low, 17 moderate, 14 high, 2 critical). All of them are in third-party dependencies and already public in the GitHub advisory database.

High and critical (module, vulnerable range → patched):

  • critical tinypool <2.1.2 → >=2.1.2
  • high vite >=8.2.0 <=8.2.3 → >=8.2.4
  • high zod <4.6.6 → >=4.6.6
  • high brace-expansion 2.x / 4.x–5.x → >=2.1.6 / >=5.0.11
  • high fast-uri <3.1.7 → >=3.1.7
  • high source-map-js <1.2.2 → >=1.2.2
  • high lodash.set >=3.7.0 <=4.3.2 → no patched version (needs the dependent replaced or overridden)

After the move to the shared nanoforge-dev/actions@v3 tests workflow (branch ci/actions-v3), the new Tests / Dependency audit job runs this check at high on every PR, so it stays red until these are bumped (pnpm why <module>, then dependency bumps or pnpm.overrides, as the actions repo did with tinypool: ^2.1.2).

Found while migrating engine CI to actions v3.

Code sample

No response

Versions
  • Engine main at 31ed3b8
  • pnpm 12.0.0, Node.js 26
Issue priority

Medium (should be fixed soon)

I have tested this issue on a development release

31ed3b8

Lingua principale
TypeScript
Stelle
7
Fork
2
Merge medio
1g 17h
PR unite (30g)
17

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di NanoForge-dev/Engine

Tutte le issue di NanoForge-dev/Engine

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.