gleam-lang/gleam

Warn when a vulnerable package version is added as a dependency

Aperta

#5725 aperta il 18 mag 2026

Vedi su GitHubGuida contributor
 (2 commenti) (0 reazioni) (0 assegnatari)Rust (960 fork)batch import
help wanted

Metriche repository

Star
 (21.417 stelle)
Metriche merge PR
 (Merge medio 10g 19h) (69 PR mergiate in 30 g)

Descrizione

Hex now contains information on CVEs that we can use to display warnings when used. Let's use this information to display a warning when a newly resolved version of a dependency is vulnerable.

We could also have a command for showing vulnerabilities for the current package versions.

Reference implementation for Elixir: https://github.com/hexpm/hex/pull/1150

Guida contributor

Direzione di ricerca
Esamina come Hex raccoglie e fornisce dati sulle CVE, quindi implementa un avviso nel risolutore di dipendenze di Gleam che controlla le versioni risolte rispetto alle vulnerabilità note.
Tech stack
rustelixir
Dominio
backendsecurity
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-2 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
GleamRustHex package managerCVEs
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
40