Bundle includes apache-arrow code generation (new Function) since v4.38.3
Mantenedores costumam responder em até 1 dia
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 3/5
- Tempo estimado
- 1-2 dias
- Facilidade para iniciantes
- 55/100
- Tipo de issue
- Bug
- Clareza
- Razoavelmente clara
- Status de atividade
- Ativa
- Stack de tecnologia
- github-actions, javascript, node.js, typescript
- Domínio
- build-system, devops, security
Direção de pesquisa
Start with build.mjs and inspect how lib/entry-points.js is bundled, then trace how @azure/storage-blob brings in apache-arrow through @actions/artifact and @actions/cache. Check whether the build can exclude apache-arrow or use a fixed release; done means the generated bundle no longer includes the reported createIsValidFunction code and the build still succeeds.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Since v4.38.3, lib/entry-points.js includes apache-arrow's createIsValidFunction, which builds a predicate with new Function from runtime values. It comes in through @azure/storage-blob 12.34.0 (via @actions/artifact and @actions/cache), which lazily imports apache-arrow for its Arrow blob-list parser. v4.38.2 didn't include it; v4.39.0 still does.
Static analysis can't verify the generated function, so supply-chain auditing tools treat these releases as unverifiable. As far as I can tell nothing in the action lists blobs, so the parser is unreachable. The upstream fix is apache/arrow-js#501.
Would you consider excluding apache-arrow from the bundle in build.mjs, or overriding to the fixed apache-arrow once it's released?
- Linguagem predominante
- TypeScript
- Estrelas
- 1.7k
- Forks
- 498
- Merge médio
- 1d 17h
- PRs com merge (30d)
- 61
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Tem um modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de github/codeql-action
-
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 90/100
github/codeql-action#4202 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/codeql-action#4052 · 4 comentários ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 18/100
github/codeql-action#4229 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 35/100
github/codeql-action#4228 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 28/100
github/codeql-action#4199 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
Todas as issues de github/codeql-action
Issues semelhantes
-
[Android] Nested transforms are composed in reverse orderTalvez já em andamento @Danyalo assumiu hoje. AbertaRepro provided
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100
software-mansion/react-native-svg#3090 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
radix-ui/primitives#4228 ·
Mantenedores costumam responder em até 1 dia
-
bug
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 95/100
rocketride-org/rocketride-server#2705 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
archon-ready archon-size-s archon-type-bug area: web
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
coleam00/Archon#4707 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
HarperFast/grafana-datasource#177 ·