es5-ext dependency is quarantined by Nexus Firewall, blocking hermetic builds
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 68/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Tranquilla
- Stack tecnologico
- typescript, vscode
- Ambito
- build-system, devops
Direzione di ricerca
Inizia da lib/vscode/package.json e segui la catena di dipendenze indicata per confermare come viene risolto es5-ext. Applica il dependency override descritto nell’issue, quindi esegui la build ermetica o hardened per il recupero delle dipendenze, verificando che il pacchetto messo in quarantena non venga più richiesto.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Problem
The es5-ext npm package (both 0.10.63 and 0.10.64) has been quarantined by Nexus Firewall under advisory sonatype-2022-2248. Its _postinstall.js script makes network calls to geolocate the host and executes undisclosed code (classified as protestware). Both versions are flagged; there is no clean upstream version.
This blocks any hermetic/hardened supply chain build that prefetches npm dependencies through an artifact registry proxy, resulting in:
FetchError: 403, message='--- Requested item is quarantined ---'
url='https://artifact-registry-proxy.../npm-proxy/es5-ext/-/es5-ext-0.10.63.tgz'
Dependency chain
es5-ext enters code-server through the VS Code submodule (lib/vscode/):
gulp-sourcemaps→debug-fabulous→memoizee→es5-ext(build tooling, devDependency)- Also via
d,es6-iterator,es6-symbol,es6-weak-map,esniff,event-emitter,timers-ext
Upstream status
- microsoft/vscode#310541 — closed, maintainer said PRs welcome
- microsoft/vscode#160012 — older duplicate, also closed
- medikoo/es5-ext#186 — upstream protestware discussion (4 years old)
Suggested fix
Add an npm overrides entry in lib/vscode/package.json to alias es5-ext to @unes/es5-ext, a community fork that strips the postinstall script and rebases daily against upstream:
"overrides": {
"es5-ext": "npm:@unes/es5-ext@0.10.64-1"
}
We have implemented this fix in our downstream build at opendatahub-io/notebooks#3556.
- Lingua principale
- TypeScript
- Stelle
- 79.4k
- Fork
- 6.9k
- Merge medio
- 2g 13h
- PR unite (30g)
- 39
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di coder/code-server
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 92/100
coder/code-server#8017 · 2 commenti ·
-
Bump proxy-addr to 2.0.8 Apertasecurity
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
coder/code-server#8013 · 4 commenti ·
-
enhancement
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
coder/code-server#7976 · 2 commenti ·
-
enhancement
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
coder/code-server#7962 · 3 commenti ·
-
bug needs-investigation
Difficoltà 4/5 3-5 giorni Idoneità per principianti 55/100
coder/code-server#7955 · 1 commento ·
Tutte le issue di coder/code-server
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
mksglu/context-mode#1200 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
jaegertracing/jaeger-ui#4506 ·
-
area:desktop area:ui bug platform:macos
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
anthropics/claude-code#96687 ·
-
good first issue
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 95/100
AOSSIE-Org/DebateAI#582 · 2 commenti ·