Dependency audit fails at high: bump vulnerable dependencies

Aberta
  • Algo errado?
#463 0 comentários 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
3/5
Tempo estimado
1-2 dias
Facilidade para iniciantes
68/100
Tipo de issue
Bug
Clareza
Razoavelmente clara
Status de atividade
Ativa
Stack de tecnologia
node.js, typescript, vite
Domínio
devops, security

Direção de pesquisa

Start with pnpm why <module> for each listed vulnerable dependency and inspect the dependency declarations and lockfile. Bump dependencies or add pnpm.overrides where no patched version exists, following the tinypool override example in the shared actions repository. Run pnpm audit --audit-level high; done means the audit job passes.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

bug dependencies
Which package is this bug report for?

other

Issue description

pnpm audit --audit-level high fails on main: 37 advisories (4 low, 17 moderate, 14 high, 2 critical). All of them are in third-party dependencies and already public in the GitHub advisory database.

High and critical (module, vulnerable range → patched):

  • critical tinypool <2.1.2 → >=2.1.2
  • high vite >=8.2.0 <=8.2.3 → >=8.2.4
  • high zod <4.6.6 → >=4.6.6
  • high brace-expansion 2.x / 4.x–5.x → >=2.1.6 / >=5.0.11
  • high fast-uri <3.1.7 → >=3.1.7
  • high source-map-js <1.2.2 → >=1.2.2
  • high lodash.set >=3.7.0 <=4.3.2 → no patched version (needs the dependent replaced or overridden)

After the move to the shared nanoforge-dev/actions@v3 tests workflow (branch ci/actions-v3), the new Tests / Dependency audit job runs this check at high on every PR, so it stays red until these are bumped (pnpm why <module>, then dependency bumps or pnpm.overrides, as the actions repo did with tinypool: ^2.1.2).

Found while migrating engine CI to actions v3.

Code sample

No response

Versions
  • Engine main at 31ed3b8
  • pnpm 12.0.0, Node.js 26
Issue priority

Medium (should be fixed soon)

I have tested this issue on a development release

31ed3b8

Linguagem predominante
TypeScript
Estrelas
7
Forks
2
Merge médio
1d 17h
PRs com merge (30d)
17

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de NanoForge-dev/Engine

Todas as issues de NanoForge-dev/Engine

Issues semelhantes

Mais issues de TypeScript

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.