Review argparse dependency bringing in sprintf-js CVE-2026-97058
@Varun-S10 がすでに取り組んでいます。
2026年10月19日 から。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 22/100
- issue の種類
- リファクタリング
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- javascript, typescript
- 領域
- build-system, security
調査の方向性
Start by checking which package.json in the tfjs monorepo declares argparse and whether it is a runtime dependency, using npm ls argparse sprintf-js to confirm the chain. Then review the argparse@^1.0.10 range and any newer compatible release that drops sprintf-js. Done means a documented maintainer decision on removing, making optional, or upgrading the dependency, not a code patch. Expect the discussion to need maintainer input.
索引モデルが issue の本文から書いたものです。
説明
TensorFlow.js 4.22.0 declares argparse@^1.0.10, which resolves to [email protected] and brings in [email protected]:
@tensorflow/[email protected] → [email protected] → [email protected]
sprintf-js versions through 1.1.3 are listed as affected by CVE-2026-97058. The upstream report is being discussed in sprintf-js issue #237.
We see this dependency chain in applications consuming TensorFlow.js. We are not asserting that TFJS exposes the vulnerable formatter to untrusted input in our usage. Could you assess whether argparse is required in this package’s runtime dependency set, and whether it can be removed, made optional, or updated to a compatible release that no longer depends on sprintf-js?
We prefer not to force an argparse major-version override in consuming applications without compatibility guidance. Please advise whether an upstream dependency change is planned.
- 主要言語
- TypeScript
- スター
- 19.2k
- フォーク
- 2k
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
tensorflow/tfjs のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
tensorflow/tfjs#8754 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 86/100
tensorflow/tfjs#8753 ·
-
`@tensorflow/tfjs-node` installation issue再び着手できるかも @nileshau-afk が 29 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンtype:build/install
難易度 4/5 3〜5日 初心者へのやさしさ 48/100
tensorflow/tfjs#8748 · 担当者 1 名 ·
-
The package tfjs-node is not working in version 26.8.1 of Node再び着手できるかも @nileshau-afk が 57 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンcomp:node.js type:bug
tensorflow/tfjs#8746 · コメント 4 件 · リアクション 1 件 · 担当者 1 名 ·
-
I'm getting these npm errors while trying to install @tensorflow/tfjs-node再び着手できるかも @Varun-S10 が 87 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンstat:awaiting tensorflower type:build/install type:support
tensorflow/tfjs#8740 · コメント 4 件 · リアクション 1 件 · 担当者 1 名 ·
tensorflow/tfjs の issue をすべて見る
似ている issue
-
content triage
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
tool-submission
難易度 1/5 1時間未満 初心者へのやさしさ 83/100
BraveOPotato/NoSignups#2348 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
code-yeongyu/oh-my-openagent#12784 ·
メンテナーはふだん 1 日以内に返信
-
external-issue to-triage
難易度 2/5 1〜3時間 初心者へのやさしさ 71/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
MomsBloomOrg/momsbloom-resources#84 ·
メンテナーはふだん 1 日以内に返信