Resolve 3 open Dependabot alerts (devalue high, glib medium, rand low)

Aperta
  • Qualcosa non va?
#185 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
42/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Tranquilla
Stack tecnologico
rust, tauri, typescript
Ambito
databases, devops, security

Direzione di ricerca

Start by checking the dependency paths for devalue in website/package-lock.json and glib and rand in src-tauri/Cargo.lock; the issue suggests updating devalue and rand and checking whether Tauri/WebKitGTK permits the glib upgrade. Run the frontend build and Rust check, clippy, and tests. Done means all three packages meet the listed patched versions, or the glib blocker is documented, CI is green, and the alerts close.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

dependencies security

Three open Dependabot alerts on main (flagged during the v1.0.21 push). None are in app-runtime-critical paths, but all have published patches.

# Severity Package Ecosystem Manifest Vulnerable Patched
16 high devalue npm website/package-lock.json >= 5.6.3, <= 5.8.0 5.8.1
11 medium glib rust src-tauri/Cargo.lock >= 0.15.0, < 0.20.0 0.20.0
12 low rand rust src-tauri/Cargo.lock >= 0.7.0, < 0.8.6 0.8.6
Notes / context
  • devalue (high) — "DoS via sparse array deserialization." Transitive dep of the Astro website (website/), not the desktop app. Likely pulled via Astro/SvelteKit-style serialization. Probably resolvable with a lockfile bump (npm update devalue in website/) or an overrides pin to 5.8.1.
  • glib (medium) — "Unsoundness in Iterator/DoubleEndedIterator impls for glib::VariantStrIter." Transitive via the Linux WebKitGTK stack (gtk-rs). Bumping to 0.20.0 may be gated by what tauri/webkit2gtk pin — check whether a compatible upgrade exists without breaking the build.
  • rand (low) — "Rand is unsound with a custom logger using rand::rng()." Transitive in the Rust tree; bump to 0.8.6.
Acceptance
  • devalue ≥ 5.8.1 in website/package-lock.json
  • rand ≥ 0.8.6 in src-tauri/Cargo.lock
  • glib ≥ 0.20.0 in src-tauri/Cargo.lock (or document why it's blocked by the tauri/webkit2gtk pin)
  • CI green (Frontend build + Rust check/clippy/test) and all three alerts auto-close

Per repo convention the patch PR should reference this issue.

Lingua principale
TypeScript
Stelle
6
Fork
1
Merge medio
17m
PR unite (30g)
2

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di openidle-dev/queryden

Tutte le issue di openidle-dev/queryden

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.