[Security] Remove temporary audit exceptions: extract-zip (GHSA-jmr9/7pqw) and zod 3 (GHSA-mrhx-c7xc-m3w5)
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 35/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Attiva
- Stack tecnologico
- bun, github-actions, typescript
Direzione di ricerca
Read .github/DEPENDENCY_SECURITY.md and the audit command plus exceptions in .github/workflows/ci.yml; check Dependabot updates for the named parent packages. The issue is complete when each exception can be removed under its stated exit criteria, then verify with bun audit --audit-level=high.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Context
bun audit --audit-level=high fails on three high advisories that have no fix available through any compatible upgrade. The maintainer (@IbrahimIjai) approved time-boxed exceptions on 2026-10-26, per .github/DEPENDENCY_SECURITY.md. They are documented beside the audit command in .github/workflows/ci.yml.
| GHSA | Package | Path | Reachability |
|---|---|---|---|
| GHSA-jmr9-qjv8-65gv | extract-zip 2.0.1 | docs → @lhci/cli → lighthouse → puppeteer-core → @puppeteer/browsers | CI only. Extracts the Chromium download from Google's CDN; never handles user-supplied ZIPs. Not in any shipped bundle. |
| GHSA-7pqw-9j4j-h8q3 | extract-zip 2.0.1 | same | same |
| GHSA-mrhx-c7xc-m3w5 | zod 3.22.4 / 3.23.8 / 3.25.76 | web → @pythnetwork/hermes-client; web → @creit.tech/stellar-wallets-kit → @reown/appkit-wallet; build tooling | Runtime: zod 3 validates responses from Pyth Hermes (via our own /api/pyth proxy, which only forwards the app's fixed feed IDs) and the Reown wallet SDK. No user-controlled collection reaches a constrained zod schema. Memory DoS would be self-inflicted in the user's own tab. |
Exit criteria (remove each --ignore when met)
- extract-zip: @lhci/cli / puppeteer ships a patched extractor, or Lighthouse CI is replaced or isolated
- zod: @pythnetwork/hermes-client and @reown/appkit-wallet move to zod ≥ 4.6.6 (or we replace them)
- Review deadline: 2027-01-18. Re-check sooner whenever Dependabot bumps either parent.
- Lingua principale
- TypeScript
- Stelle
- 3
- Fork
- 112
- Merge medio
- 1g 9h
- PR unite (30g)
- 36
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di SO4-Markets/interface
-
bug good first issue phase:9-ux priority:medium
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
SO4-Markets/interface#969 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
help wanted priority:medium type:refactor
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
SO4-Markets/interface#942 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
good first issue priority:medium type:refactor
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
SO4-Markets/interface#937 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
good first issue priority:medium type:refactor
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
SO4-Markets/interface#936 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
bug good first issue priority:medium type:refactor
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
SO4-Markets/interface#935 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di SO4-Markets/interface
Issue simili
-
automated-triage type/bug type/ci
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
📦 expo-router Android contributor: external needs review sdk-58 severity: medium
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
expo/expo#53436 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Translate the READMEApertadocumentation good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 84/100
asasemahmed/openboard#68 ·
I maintainer di solito rispondono entro 1 giorno
-
bug good first issue
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
-
Document PowerShell shell semantics and read-only Bash deduplication in Built-in Tools referenceApertadocumentation
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100