@agentos-software/pi bundles @mariozechner/pi-coding-agent 0.60.0, affected by GHSA-jfgx-wxx8-mp94 (fixed only in @earendil-works/pi-coding-agent 0.78.1+)
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 45/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- javascript
調査の方向性
Start with dist/adapter.js and dist/sdk-snapshot.js, then inspect the current adapter imports and package references. Build the package against @earendil-works/pi-coding-agent and @earendil-works/pi-ai at 0.78.1 or newer, update the changed async auth APIs, and verify the published bundle no longer runs the vulnerable @mariozechner packages.
索引モデルが issue の本文から書いたものです。
説明
Summary
@agentos-software/pi (checked 0.2.7 and the latest, 0.3.2) depends on and bundles @mariozechner/[email protected] (and @mariozechner/[email protected]) into dist/sdk-snapshot.js. That package line stopped at 0.73.1: Pi moved to @earendil-works/pi-coding-agent, and these advisories list no fix for the @mariozechner name:
| Advisory | Severity | Affected @mariozechner/pi-coding-agent |
Fixed |
|---|---|---|---|
| GHSA-jfgx-wxx8-mp94 (CVE-2026-54328) — predictable temporary extension install paths, local privilege escalation on shared Linux hosts | High | >= 0.50.0, <= 0.73.1 | @earendil-works/pi-coding-agent 0.78.1 |
| GHSA-7v5m-pr3q-6453 (CVE-2026-54326) — XSS in HTML session exports | Low | >= 0.27.5, <= 0.73.1 | same |
GHSA-r95r-rj6r-c39x (CVE-2026-54327) — auth.json write race |
Low | >= 0.28.0, <= 0.73.1 | same |
Downstream scanners flag every consumer, and an npm overrides entry is not a workaround: the adapter prefers the bundled snapshot (if (snapshotRuntime) in dist/adapter.js), so overriding the dependency changes only the lockfile, not what runs.
Request
Publish an @agentos-software/pi built on @earendil-works/pi-coding-agent / @earendil-works/pi-ai >= 0.78.1. Note the adapter imports internal paths (dist/core/sdk.js, session-manager.js, model-registry.js, ...) and @mariozechner/pi-agent-core; those still exist under the new package names, but the auth APIs changed (e.g. AuthStorage is no longer exported from the package root and credential operations are async).
Related: #1903.
- 主要言語
- Rust
- スター
- 4.7k
- フォーク
- 263
- 平均マージ
- 9時間 43分
- マージ済み PR（30日）
- 27
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
rivet-dev/agentos のほかの issue
-
Python edits to filesystem.writeFile-created files are reverted by shadow reconciliation対応中かも @ankssjain が 2 日前に担当しました。 オープン
難易度 4/5 3〜5日 初心者へのやさしさ 20/100
rivet-dev/agentos#2022 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 3/5 半日 初心者へのやさしさ 32/100
メンテナーはふだん 1 日以内に返信
-
Python launched through guest shell stalls on queued filesystem RPCs対応中かも @ankssjain が 9 日前に担当しました。 オープン
難易度 4/5 3〜5日 初心者へのやさしさ 52/100
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 66/100
rivet-dev/agentos#1994 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 5/5 1週間以上 初心者へのやさしさ 42/100
メンテナーはふだん 1 日以内に返信
rivet-dev/agentos の issue をすべて見る
似ている issue
-
mxl-compile: пример заполнения ячеек отклоняется Unica対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 1/5 1〜3時間 初心者へのやさしさ 91/100
IngvarConsulting/unica#1301 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
-
難易度 1/5 1時間未満 初心者へのやさしさ 75/100
ajeetraina/awesome-docker-sbx#220 ·
-
`helios / deploy`: switch zone wait in `deploy.sh` has almost no headroom over healthy startup times対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープンTest Flake
難易度 2/5 1〜3時間 初心者へのやさしさ 74/100
oxidecomputer/omicron#11453 ·
メンテナーはふだん 1 日以内に返信