[rush] rush-lib bundles pnpm-sync-lib that pins vulnerable [email protected]
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 静か
- 技術スタック
- nodejs, typescript, yaml
- 領域
- build-system, security, tooling
調査の方向性
Start with packages/pnpm-sync-lib/package.json in the linked pnpm-sync repository and verify the exact [email protected] pin against GHSA-48c2-rrv3-qjmp. Trace how pnpm-sync-lib enters @microsoft/rush-lib's install-run bootstrap, then determine whether an upstream dependency update is available; done means the Rush dependency chain no longer installs the vulnerable yaml version.
索引モデルが issue の本文から書いたものです。
説明
Summary
@microsoft/rush-lib depends on [email protected], which exact-pins [email protected]. That version is flagged by security scanners / Component Governance under GHSA-48c2-rrv3-qjmp — "yaml is vulnerable to Stack Overflow via deeply nested YAML collections" (Moderate; vulnerable >=2.0.0 <2.8.3, patched >=2.8.3).
Because this yaml is pulled into Rush's install-run bootstrap (common/temp/install-run/@microsoft+rush@<version>/), it cannot be remediated by any consumer-side Rush configuration (details below). It can only be fixed upstream.
The root pin is already tracked at tiktok/pnpm-sync#44, but that issue has been open since 2026-03-26 with no maintainer response, and pnpm-sync appears unmaintained (last commit ~10 months ago). Since @microsoft/rush-lib is the primary consumer of pnpm-sync-lib, raising it here so Rush can drive a resolution.
Dependency chain
[email protected]
node_modules/yaml
yaml@"2.4.1" from [email protected]
node_modules/pnpm-sync-lib
pnpm-sync-lib@"0.3.3" from @microsoft/rush-lib@<version>
@microsoft/rush-lib from @microsoft/rush@<version>
pnpm-sync-lib hard-codes "yaml": "2.4.1" (exact, not a range) in every published version up to and including the latest 0.3.3:
https://github.com/tiktok/pnpm-sync/blob/main/packages/pnpm-sync-lib/package.json
Confirmed on @microsoft/[email protected] and @microsoft/[email protected]; the latest @microsoft/[email protected] still declares "pnpm-sync-lib": "0.3.3".
- 主要言語
- TypeScript
- スター
- 6.5k
- フォーク
- 708
- 平均マージ
- 2日 1時間
- マージ済み PR（30日）
- 46
環境構築
このプロジェクトの環境構築ファイルはまだ確認していません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
microsoft/rushstack のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
microsoft/rushstack#5971 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
microsoft/rushstack#5902 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
microsoft/rushstack#5839 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
microsoft/rushstack#5683 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
メンテナーはふだん 1 日以内に返信
microsoft/rushstack の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
external-issue to-triage
難易度 1/5 1時間未満 初心者へのやさしさ 90/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
diegosouzapw/OmniRoute#15401 ·
メンテナーはふだん 2 日以内に返信
-
Sign the pledgeオープン
難易度 1/5 1時間未満 初心者へのやさしさ 95/100
input-output-hk/devx-updates#163 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 86/100
code-yeongyu/oh-my-openagent#9454 ·
メンテナーはふだん 1 日以内に返信