4.2.0 pins axios, @xmldom/xmldom and mocha (serialize-javascript) to versions with high-severity advisories
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 68/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- javascript, nodejs
- 領域
- security
調査の方向性
axios、@xmldom/xmldom、mocha/serialize-javascript の依存関係宣言を確認し、その後、新しいプロジェクトで npm audit を実行して、報告された advisories を確認します。検証済みの Playwright ヘルパーとその 9 つの E2E シナリオを回帰チェックに使用します。修正済みの依存関係バージョンが overrides なしで利用でき、シナリオが引き続きパスすれば完了です。
索引モデルが issue の本文から書いたものです。
説明
[email protected] pins three dependencies to exact versions that have published high-severity advisories. Because the versions are exact, users cannot pick up the patched releases without overrides.
| Dependency | Pinned | Patched | Advisories (examples) |
|---|---|---|---|
axios |
1.16.1 |
1.20.0 |
GHSA-9fr6-4gfg-395g, GHSA-c29m-xwm3-cm6r, GHSA-mghh-pgcx-3jjj, GHSA-j8rh-479h-cp32 (and ~20 more fixed in 1.18–1.20) |
@xmldom/xmldom |
0.9.10 |
0.9.12 |
GHSA-6gmq-8vp8-gcm6, GHSA-g53g-w8rj-fmg7, GHSA-w2rr-34g9-rvrj, GHSA-c7q8-3ch8-vqpv |
serialize-javascript (via [email protected]) |
6.0.2 |
7.1.2 |
GHSA-5c6j-r48x-rmvq, GHSA-qj8w-gfj5-8c6v |
npm audit on a fresh project with only [email protected] installed reports these as high.
Workaround we verified (Playwright helper, 9 E2E scenarios pass):
"overrides": {
"axios": "^1.20.0",
"@xmldom/xmldom": "^0.9.12",
"serialize-javascript": "^7.1.2"
}
serialize-javascript 7's only breaking change is "requires Node.js 20+"; mocha 12 already depends on ^7.
Suggestion: bump axios and @xmldom/xmldom, and either move to mocha@12 or use caret ranges so patch releases flow through. Happy to send a PR if that helps.
- 主要言語
- JavaScript
- スター
- 4.2k
- フォーク
- 755
- 平均マージ
- 1日 8時間
- マージ済み PR（30日）
- 18
環境構築
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
codeceptjs/CodeceptJS のほかの issue
-
`I.waitForFile` (FileSystem helper) fails if directory does not exist (yet)対応中かも @danielrentz が 251 日前に担当しました。 オープンstale
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
codeceptjs/CodeceptJS#5420 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
stale
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
codeceptjs/CodeceptJS#5358 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
stale
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
codeceptjs/CodeceptJS#4958 · コメント 10 件 · リアクション 2 件 ·
メンテナーはふだん 1 日以内に返信
-
stale
難易度 1/5 1時間未満 初心者へのやさしさ 72/100
codeceptjs/CodeceptJS#4778 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 3/5 1〜2日 初心者へのやさしさ 68/100
codeceptjs/CodeceptJS#5725 ·
メンテナーはふだん 1 日以内に返信
codeceptjs/CodeceptJS の issue をすべて見る
似ている issue
-
Code Cleanup Dev Environment
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
ProjectSidewalk/SidewalkWebpage#5699 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
zenstackhq/zenstack#2873 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
Jason-Vaughan/TangleClaw#2195 ·
メンテナーはふだん 1 日以内に返信
-
permissions in review update icon/data
難易度 2/5 1〜3時間 初心者へのやさしさ 69/100
simple-icons/simple-icons#15062 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1〜3時間 初心者へのやさしさ 78/100
githubnext/gh-aw-cao#16664 ·
メンテナーはふだん 1 日以内に返信