Security tab: triage the open Dependabot alerts (long-running)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
調査の方向性
Start by comparing the current default branch with the manifests listed in the issue; Dependabot scans main, and the recorded alert counts are only a snapshot. After the planned develop to main merge, take a fresh Security tab snapshot and triage remaining alerts by manifest, starting with runtime dependencies in pyproject.toml, dincli/requirements.txt, and cache_model_0. Record each package bump or dismissal and its reason; the issue is done when remaining alerts are triaged and the Dependabot configuration decision is recorded.
索引モデルが issue の本文から書いたものです。
説明
Long-running tracking issue for the open Dependabot alerts on the Security tab. Abraham raised this ahead of inviting contract reviewers. No triage has been done yet; this issue records the starting point so the work can be picked up in pieces.
Where the alerts come from (snapshot, 29 Oct 2026)
646 open alerts — 32 critical, 256 high, 258 medium, 100 low. 542 pip, 104 npm.
Dependabot scans only the default branch (main), so these reflect main, not develop:
Manifest (on main) |
Alerts | On develop? |
|---|---|---|
fastapi/requirements.txt |
134 | No. Deleted on main too (538bcd5), so these alerts look stale |
dincli/requirements.txt |
134 | Rewritten on develop: 5 direct pins (typer, web3, platformdirs, py-cid, python-dotenv), no aiohttp/pillow/torch |
cache_model_0/requirements-cuda.txt |
133 | No. Replaced by cache_model_0/requirements.txt and per-role requirements/*/requirements.txt |
cache_model_0/requirements-cpu.txt |
133 | No. Same as above |
hardhat/package-lock.json |
104 | Yes, changed (secondary toolchain, dev-only) |
pyproject.toml |
8 | Yes |
The four pip manifests on main carry near-identical full-environment pins, so most of the count is the same few packages repeated four times: aiohttp (137), Pillow/pillow (232), torch (40), starlette (24), urllib3 (23), cryptography (21). The 32 critical alerts are Pillow and anyio (in each of the four pip files) plus handlebars, pbkdf2, form-data and sha.js in hardhat/package-lock.json.
Expect a large drop once develop reaches main (the planned develop → main merge), since most of the alerting manifests no longer exist on develop. The remaining alerts then need real triage.
Plan
- Dismiss the
fastapi/requirements.txtalerts as "no longer used" (the manifest was deleted). - After
developis merged intomain, take a fresh snapshot of what's still open. - Triage what remains, by manifest: runtime (
pyproject.toml,dincli/requirements.txt,cache_model_0requirements) first, then dev-only (hardhat/,foundry/npm lockfiles). - For each package: bump if it's used, dismiss with a reason if it's not reachable (e.g. dev-only tooling, code path unused).
- Decide whether to add a
.github/dependabot.yml(none today) so update PRs are grouped and scoped to the manifests we actually ship.
Comment here with each batch handled (manifest, packages, bumped or dismissed and why) so progress is visible without re-reading the Security tab.
Relates to #166 (testnet readiness).
- 主要言語
- Python
- スター
- 4
- フォーク
- 7
- 平均マージ
- 3日 5時間
- マージ済み PR（30日）
- 34
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
InfiniteZeroFoundation/DevNet のほかの issue
-
ROADMAP.md: refresh "What is still open for P3" (several items were fixed in October)対応中かも @umermjd11 が 3 日前に担当しました。 オープンdocumentation good first issue
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
InfiniteZeroFoundation/DevNet#285 · コメント 1 件 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
Update the 25 translated organisation READMEs to match the English version対応中かも @mrCabez が 1 日前に担当しました。 オープンgood first issue help wanted
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
InfiniteZeroFoundation/DevNet#277 · コメント 2 件 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
Update the client-service guide to explain training and uploading separately対応中かも @Santiagocetran が 1 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
InfiniteZeroFoundation/DevNet#266 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
Few questions related to GI2 aggregator対応中かも @Abidoyesimze が今日担当しました。 オープン
InfiniteZeroFoundation/DevNet#307 · リアクション 1 件 · 担当者 4 名 ·
メンテナーはふだん 1 日以内に返信
-
bug python
難易度 4/5 3〜5日 初心者へのやさしさ 52/100
InfiniteZeroFoundation/DevNet#306 ·
メンテナーはふだん 1 日以内に返信
InfiniteZeroFoundation/DevNet の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
vllm-project/vllm#64845 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
dekobon/big-code-analysis#1729 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
pydantic/pydantic-ai#12091 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100