Bundle includes apache-arrow code generation (new Function) since v4.38.3
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 3/5
- Tempo stimato
- 1-2 giorni
- Idoneità per principianti
- 55/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- github-actions, javascript, node.js, typescript
- Ambito
- build-system, devops, security
Direzione di ricerca
Start with build.mjs and inspect how lib/entry-points.js is bundled, then trace how @azure/storage-blob brings in apache-arrow through @actions/artifact and @actions/cache. Check whether the build can exclude apache-arrow or use a fixed release; done means the generated bundle no longer includes the reported createIsValidFunction code and the build still succeeds.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Since v4.38.3, lib/entry-points.js includes apache-arrow's createIsValidFunction, which builds a predicate with new Function from runtime values. It comes in through @azure/storage-blob 12.34.0 (via @actions/artifact and @actions/cache), which lazily imports apache-arrow for its Arrow blob-list parser. v4.38.2 didn't include it; v4.39.0 still does.
Static analysis can't verify the generated function, so supply-chain auditing tools treat these releases as unverifiable. As far as I can tell nothing in the action lists blobs, so the parser is unreachable. The upstream fix is apache/arrow-js#501.
Would you consider excluding apache-arrow from the bundle in build.mjs, or overriding to the fixed apache-arrow once it's released?
- Lingua principale
- TypeScript
- Stelle
- 1.7k
- Fork
- 498
- Merge medio
- 1g 17h
- PR unite (30g)
- 56
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di github/codeql-action
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 90/100
github/codeql-action#4202 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
github/codeql-action#4052 · 4 commenti ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 18/100
github/codeql-action#4229 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
github/codeql-action#4228 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 28/100
github/codeql-action#4199 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di github/codeql-action
Issue simili
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 67/100
mobile-next/mobile-mcp#526 ·
I maintainer di solito rispondono entro 1 giorno
-
e2e-failure ready-to-code
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 73/100
redhat-developer/rhdh-plugin-export-overlays#4470 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
anthropics/anthropic-sdk-typescript#1273 ·
I maintainer di solito rispondono entro 10 giorni
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
CopilotKit/OpenBot#815 ·
I maintainer di solito rispondono entro 1 giorno