Vendor a fork of Fractal to resolve unpatched dependency vulnerabilities
I maintainer di solito rispondono entro 5 giorni
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 35/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- javascript, node.js
- Ambito
- build-system, devops, security
Direzione di ricerca
Start by checking the Fractal package versions and dependency alerts listed in the issue, then inspect how the docs build and local dev server use those packages. The issue proposes vendoring a fork and updating dependencies, but does not name repository files or tests. Done means the docs build and dev server both work with the updated dependencies.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Fractal (@frctl/fractal 1.5.15, @frctl/mandelbrot 1.10.3, @frctl/nunjucks 2.0.15) hasn't had a release since January 2023. It pins old majors of several dependencies that have open security alerts with no fix available in range: axios 0.21.4 (23 alerts, high), lodash 3.10.1 (critical), marked 2.1.3 (high), tmp 0.0.33 (high), braces 2.3.2 / micromatch 3.1.10 (high), got 9.6.0, sprintf-js, decode-uri-component, send 0.16 / serve-static 1.13.
These only affect the local dev server and docs build, not the published package, but they account for most of our open Dependabot alerts and can't be fixed with npm update. overrides would force major bumps (e.g. marked 2 → 4, axios 0.21 → 0.33) onto code written for the old APIs.
Proposal: vendor a fork of the Fractal packages we use, update their dependencies to supported versions, and verify the docs build and dev server still work.
- Lingua principale
- SCSS
- Stelle
- 298
- Fork
- 83
- Merge medio
- 6g 9h
- PR unite (30g)
- 20
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Nessuna guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di mozilla/protocol
-
A11y ♿️
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 5 giorni
-
Bug :beetle: Size: XS
Difficoltà 2/5 Meno di un'ora Idoneità per principianti 65/100
I maintainer di solito rispondono entro 5 giorni
-
Update to Node 24Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 45/100
I maintainer di solito rispondono entro 5 giorni
-
Dev ready ⚙️ P1 Size: XS
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
mozilla/protocol#1119 · 2 commenti ·
I maintainer di solito rispondono entro 5 giorni
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 48/100
I maintainer di solito rispondono entro 5 giorni
Tutte le issue di mozilla/protocol
Issue simili
-
chore: run compiled JavaScript in production instead of tsxForse già presa @ohotuowo-morgan l’ha presa oggi. Apertabackend good first issue infrastructure Stellar Wave trivial
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
Godgift-care/sci-healthcare-backend#161 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
0.kind: bug 6.topic: darwin
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
I maintainer di solito rispondono entro 1 giorno
-
v1.5.0 fails to build with GOPROXY=direct: go.mod requires cel-go v0.31.0, which is not present upstreamForse già presa Una pull request collegata a questa issue è aperta o già unita. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
kubernetes-sigs/dranet#392 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
open-government-design-system/ogds-elements#199 ·
I maintainer di solito rispondono entro 1 giorno
-
bug ci selfhost sev-3
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100