Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

[rush] rush-lib bundles pnpm-sync-lib that pins vulnerable yaml@2.4.1

Aperta
#5,833 3 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
25/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
nodejs, typescript, yaml
Ambito
build-system, security, tooling

Direzione di ricerca

Start with packages/pnpm-sync-lib/package.json in the linked pnpm-sync repository and verify the exact yaml@2.4.1 pin against GHSA-48c2-rrv3-qjmp. Trace how pnpm-sync-lib enters @microsoft/rush-lib's install-run bootstrap, then determine whether an upstream dependency update is available; done means the Rush dependency chain no longer installs the vulnerable yaml version.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Summary

@microsoft/rush-lib depends on pnpm-sync-lib@0.3.3, which exact-pins yaml@2.4.1. That version is flagged by security scanners / Component Governance under GHSA-48c2-rrv3-qjmp — "yaml is vulnerable to Stack Overflow via deeply nested YAML collections" (Moderate; vulnerable >=2.0.0 <2.8.3, patched >=2.8.3).

Because this yaml is pulled into Rush's install-run bootstrap (common/temp/install-run/@microsoft+rush@<version>/), it cannot be remediated by any consumer-side Rush configuration (details below). It can only be fixed upstream.

The root pin is already tracked at tiktok/pnpm-sync#44, but that issue has been open since 2026-03-26 with no maintainer response, and pnpm-sync appears unmaintained (last commit ~10 months ago). Since @microsoft/rush-lib is the primary consumer of pnpm-sync-lib, raising it here so Rush can drive a resolution.

Dependency chain

yaml@2.4.1
  node_modules/yaml
    yaml@"2.4.1" from pnpm-sync-lib@0.3.3
      node_modules/pnpm-sync-lib
        pnpm-sync-lib@"0.3.3" from @microsoft/rush-lib@<version>
          @microsoft/rush-lib from @microsoft/rush@<version>

pnpm-sync-lib hard-codes "yaml": "2.4.1" (exact, not a range) in every published version up to and including the latest 0.3.3:
https://github.com/tiktok/pnpm-sync/blob/main/packages/pnpm-sync-lib/package.json

Confirmed on @microsoft/rush-lib@5.170.1 and @microsoft/rush-lib@5.175.0; the latest @microsoft/rush-lib@5.176.0 still declares "pnpm-sync-lib": "0.3.3".

Lingua principale
TypeScript
Stelle
6.5k
Fork
708
Merge medio
5g 19h
PR unite (30g)
48

Guida per i contributori

Nessuna guida per i contributori indicizzata per questo repository

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di microsoft/rushstack

Tutte le issue di microsoft/rushstack

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.