Dependabot can't fix the zip alerts: connector_arrow pins a duckdb that needs zip 6
メンテナーはふだん 3 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 1〜2日
- 初心者へのやさしさ
- 12/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- rust
- 領域
- build-system, security
調査の方向性
The vulnerable zip 6.0.0 enters Cargo.lock through libduckdb-sys, pulled in by the test-dbs feature, and the blocker is the duckdb version pinned by connector_arrow. Start by reading the duckdb and connector_arrow entries in the workspace Cargo.toml files and the linked upstream PRs. Done means a prqlc build no longer resolves zip 6 and the Dependabot alerts close, which depends on an upstream connector_arrow release first.
索引モデルが issue の本文から書いたものです。
説明
Dependabot alerts #217–#220 flag zip 6.0.0 in Cargo.lock. #217 (GHSA-m665-v7pm-7grj) is critical and patched in 9.0.5. The others (GHSA-q7v9-x93c-xqv3, GHSA-8hxf-qr8p-62x4, GHSA-9hj8-73fh-9963) are patched in 9.0.0. Dependabot couldn't open a fix (run ended in security_update_not_possible, with 6.0.0 as the highest resolvable version), and no lockfile-only bump reaches it.
Why it's stuck: zip is a build-script dependency of libduckdb-sys, which comes in only through the test-dbs features (duckdb for the integration tests). prqlc users don't build it. libduckdb-sys 1.10501.0 (on main) and 1.10505.0 (with #6515) both require zip ^6. 1.10506.1 moves to zip ^9, and 1.20000.x drops zip. But connector_arrow pins duckdb with a tilde requirement (~1.10501.0 in 0.11.0, ~1.10505.0 in the latest release, 0.12.2), and prqlc has to use the same duckdb as connector_arrow to hand it a connection.
What would fix it: a connector_arrow release from its current main. aljazerzen/connector_arrow#84 (merged 2026-10-08) moved it to duckdb ~1.10506.0, which resolves to 1.10506.1 and so to zip 9.x. aljazerzen/connector_arrow#87 (open) would go further, to ~1.20000.0. After that release, prqlc needs a connector_arrow bump with the matching duckdb minimum, building on #6515.
#6445 covered the same chain when zip briefly yanked its pre-9 releases.
- 主要言語
- Rust
- スター
- 10.9k
- フォーク
- 261
- 平均マージ
- 3日 21時間
- マージ済み PR（30日）
- 84
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
PRQL/prql のほかの issue
-
Underscore does not work as expected対応中かも @prql-bot が 3 日前に担当しました。 オープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 3 日以内に返信
-
prqlc Debug Report HTML Does Not Escape Source File Name, Enabling Stored XSS via PRQLC_DEBUG_LOGオープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 3 日以内に返信
-
friendliness integrations
難易度 2/5 1〜3時間 初心者へのやさしさ 64/100
PRQL/prql#1636 · コメント 2 件 · リアクション 2 件 ·
メンテナーはふだん 3 日以内に返信
-
review-runs-tracking
難易度 3/5 半日 初心者へのやさしさ 5/100
メンテナーはふだん 3 日以内に返信
-
Formatted SQL adds spaces inside the next string literal after a string ending in a backslash再び着手できるかも このイシューのプルリクエストはマージされずにクローズされました。 オープンbug
難易度 4/5 1〜2日 初心者へのやさしさ 38/100
メンテナーはふだん 3 日以内に返信
似ている issue
-
bug priority: low ui
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
storytold/gridcraft#3446 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
seabeectl verify exits 0 when verification fails対応中かも @theyottaboy が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
NationalSecurityAgency/seabee#73 ·
メンテナーはふだん 4 日以内に返信
-
ready-for-agent
難易度 2/5 1〜3時間 初心者へのやさしさ 86/100
neilsh/stunt-reel#220 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
メンテナーはふだん 1 日以内に返信