gleam-lang/gleam

Warn when a vulnerable package version is added as a dependency

Aberta

#5.725 aberto em 18 de mai. de 2026

Ver no GitHubGuia do colaborador
 (2 comentários) (0 reação) (0 responsável)Rust (960 forks)batch import
help wanted

Métricas do repositório

Stars
 (21.417 estrelas)
Métricas de merge de PR
 (Mesclagem média 10d 19h) (69 fundiu PRs em 30d)

Description

Hex now contains information on CVEs that we can use to display warnings when used. Let's use this information to display a warning when a newly resolved version of a dependency is vulnerable.

We could also have a command for showing vulnerabilities for the current package versions.

Reference implementation for Elixir: https://github.com/hexpm/hex/pull/1150

Guia do colaborador

Direção de pesquisa
Examine como o Hex coleta e fornece dados de CVE, em seguida, implemente um aviso no resolvedor de dependências do Gleam que verifica as versões resolvidas em relação a vulnerabilidades conhecidas.
Pilha de tecnologia
rustelixir
Domain
backendsecurity
Tipo Issue
Funcionalidade
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-2 dias
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GleamRustHex package managerCVEs
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
40