Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

🤖 security: Dependabot updates fail on every run; 12 open alerts have no PRs

オープン
  • 何か問題がありますか？
#7,384 コメント 2 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
5/5
見積もり時間
1週間以上
初心者へのやさしさ
20/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
活発
技術スタック
bun, github-actions, typescript
領域
devops, security

調査の方向性

Start with the failed “Dependabot Updates” runs (for example, 40059914613) and the repository’s Bun and Dependabot configuration; the error says Bun is misconfigured, but the issue does not identify the cause. Trace the configuration that Dependabot uses and confirm a run can fetch files successfully. The listed package updates and follow-up checklist are separate work with dependencies and runtime checks; coordinate with the named fix-next lane and coordinator.

索引モデルが issue の本文から書いたものです。

説明

bug

Problem

Dependabot security updates fail on every run, so 12 open Dependabot alerts (7 high) have no update PRs. The last 20 "Dependabot Updates" runs all failed with:

Error during file fetching; aborting: Dependabot detected that Bun is misconfigured in this repository.

(for example runs 40059914613 and 40059913579, 2026-10-24 03:50Z). Some alerts have been open since 2026-07-21.

Open alerts (2026-10-24)

What ships in the app (dependencies, used from src/):

Package Pinned Severity Fixed in
@modelcontextprotocol/client 2.0.0 high (CVE-2026-104850), medium (CVE-2026-111769) 2.3.0
stream-json (used by historyRowScanner.ts) 3.6.0 medium (CVE-2026-114129) 3.7.0
sharp (lazy-loaded by resizeRasterImageAttachment.ts for attach_file; the macOS build ships its runtime) ^0.34.5 (0.34.5) high x3 0.35.5
happy-dom (web_fetch.ts parses every fetched page with a happy-dom Window) 20.0.11 (patched, see #6344 / #6348) high x3 (incl. CVE-2026-115895) 21.0.4

Dev tooling only (uv.lock, Xum ships no Python):

Package Severity Fixed in
filelock high (CVE-2026-112940), low x2 4.2.1

Plan

  1. One PR bumps the shipped packages: @modelcontextprotocol/client 2.3.0 and stream-json 3.7.0.
  2. One PR bumps sharp to 0.35.5 (a shipped package: needs the perf gate and a macOS attach-file runtime check) and filelock to 4.2.1 (uv lock --upgrade-package filelock).
  3. happy-dom 21.x gets its own PR, because 20.0.11 carries a local patch (#6344 / #6348). It ships in the app (web_fetch).
  4. Find why Dependabot reports Bun as misconfigured, so future alerts get PRs again.

Generated with xum • Model: anthropic:claude-opus-5-5 • Thinking: high

Correction (2026-10-24): the first version of this issue listed sharp as scripts-only. The desk lane found the runtime use in src/node/utils/attachments/resizeRasterImageAttachment.ts (import type plus a lazy load, which my search missed).

Follow-up checklist

  • After 2026-10-27, remove minimumReleaseAgeExcludes = ["happy-dom"] from bunfig.toml (added by #7393 for happy-dom 21.0.4, released 2026-10-20). Owner: the F159 fix-next lane, then the issue fix coordinator desk.
  • When litellm allows filelock >= 4.2.1, run uv lock --upgrade-package filelock (see the comment above).
    Second correction (2026-10-24): happy-dom is also shipped, not test-only. src/node/services/tools/web_fetch.ts imports it to parse fetched pages. The desk lane and the perf owner found it; my search missed it again.
主要言語
TypeScript
スター
2.1k
フォーク
140
平均マージ
4時間 57分
マージ済み PR（30日）
946

環境構築

  • Dockerfile または Docker Compose ファイルあり
  • プルリクエストのテンプレートなし
  • コントリビューションガイドなし

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

coder/xum のほかの issue

coder/xum の issue をすべて見る

似ている issue

TypeScript の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。