Decide how to clear 28 npm Dependabot alerts that need a direct dependency bump or an override
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 35/100
- issue の種類
- 機能追加
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- github, node.js, typescript
調査の方向性
Start with pnpm-lock.yaml and the dependency declarations for hosted and dor-tools-builtin; the issue names those packages and their version constraints but no source files or tests. Review the linked Dependabot alerts and the listed upstream options, then determine which alerts need a direct upgrade, an override, or dismissal. Done means all 28 alerts have a maintainer decision and the applicable alerts are cleared.
索引モデルが issue の本文から書いたものです。
説明
28 of the 58 Dependabot alerts opened on pnpm-lock.yaml on 2026-11-03 can't be cleared by a lockfile-only bump. Each needs a maintainer decision: a direct-dependency upgrade, a pnpm.overrides entry, or a dismissal as not reachable. #1573 clears the other 30. Numbers below are Dependabot alert numbers.
| Package | Pinned by | Fix | Alerts |
|---|---|---|---|
| undici 7.29.0 | [email protected] (direct devDependency of hosted), exact pin |
7.30.1 | 24–33, 49, 51, 53, 57, 59, 61, 63, 65 |
| sharp 0.35.2 | the same miniflare, exact pin | 0.35.5 | 22, 41 |
| dompurify 3.4.15 | [email protected] (latest release), exact pin |
3.4.17 | 38, 40, 42, 43, 44 (44 critical) |
| katex 0.16.47 | mermaid 11.17.2 (^0.16.47) |
0.18.2 | 39 |
| glob 10.5.0 / 13.0.6 | dependents take ^10, ^13.0.1, ~13.0.0 |
14.0.2 | 67 |
| minimatch 5.1.9 / 9.0.9 / 10.2.x | dependents take ^5.1.0, ^9.0.4, ^10.2.2, ^10.2.6 |
11.0.1 | 68 |
Options seen so far:
- miniflare is a dev/test dependency of Hosted, so undici and sharp there don't ship to users. Its
latesttag (4.20260730.0) pins undici 7.28.0, which is also vulnerable, so moving channels doesn't help. - katex clears with mermaid 12.3.0 (
^0.18.0), a major bump of a directdor-tools-builtindependency published 2026-11-03. It becomes adoptable under the 24-hour cooldown on 2026-11-04. - dompurify in monaco, glob, and minimatch have no in-range fix. Clearing them means an override past the dependent's declared range, or waiting for upstream.
- 主要言語
- TypeScript
- スター
- 5
- フォーク
- 1
- 平均マージ
- 11時間 41分
- マージ済み PR（30日）
- 432
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
diffplug/dormouse のほかの issue
-
tend-ci-failure
難易度 3/5 1〜2日 初心者へのやさしさ 35/100
diffplug/dormouse#1575 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 18/100
diffplug/dormouse#1572 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
tend-ci-cause
難易度 4/5 1〜2日 初心者へのやさしさ 42/100
diffplug/dormouse#1565 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
red-team
難易度 5/5 1週間以上 初心者へのやさしさ 5/100
メンテナーはふだん 1 日以内に返信
-
review-runs-tracking
難易度 5/5 1週間以上 初心者へのやさしさ 5/100
diffplug/dormouse#1492 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
diffplug/dormouse の issue をすべて見る
似ている issue
-
[fullsend] E2E: scorecard — filecheck GitLab entity metrics unavailable due to initialDelay timingオープンe2e-failure ready-to-code
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
redhat-developer/rhdh-plugin-export-overlays#4698 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
devswha/herdr-web-ui#2884 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信
-
b:minor bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
software-mansion/argent#1771 ·
メンテナーはふだん 1 日以内に返信
-
Resources: New palettes of Xiamen対応中かも @rmt-svc が今日担当しました。 オープンresources
難易度 1/5 1〜3時間 初心者へのやさしさ 74/100
railmapgen/rmg-palette#2491 ·
メンテナーはふだん 4 日以内に返信