[Security] Remove temporary audit exceptions: extract-zip (GHSA-jmr9/7pqw) and zod 3 (GHSA-mrhx-c7xc-m3w5)

Đang mở
  • Có gì không ổn?
#1,035 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
bun, github-actions, typescript
Lĩnh vực
devops, security

Hướng nghiên cứu

Read .github/DEPENDENCY_SECURITY.md and the audit command plus exceptions in .github/workflows/ci.yml; check Dependabot updates for the named parent packages. The issue is complete when each exception can be removed under its stated exit criteria, then verify with bun audit --audit-level=high.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

help wanted priority:medium type:config
Context

bun audit --audit-level=high fails on three high advisories that have no fix available through any compatible upgrade. The maintainer (@IbrahimIjai) approved time-boxed exceptions on 2026-10-26, per .github/DEPENDENCY_SECURITY.md. They are documented beside the audit command in .github/workflows/ci.yml.

GHSA Package Path Reachability
GHSA-jmr9-qjv8-65gv extract-zip 2.0.1 docs → @lhci/cli → lighthouse → puppeteer-core → @puppeteer/browsers CI only. Extracts the Chromium download from Google's CDN; never handles user-supplied ZIPs. Not in any shipped bundle.
GHSA-7pqw-9j4j-h8q3 extract-zip 2.0.1 same same
GHSA-mrhx-c7xc-m3w5 zod 3.22.4 / 3.23.8 / 3.25.76 web → @pythnetwork/hermes-client; web → @creit.tech/stellar-wallets-kit → @reown/appkit-wallet; build tooling Runtime: zod 3 validates responses from Pyth Hermes (via our own /api/pyth proxy, which only forwards the app's fixed feed IDs) and the Reown wallet SDK. No user-controlled collection reaches a constrained zod schema. Memory DoS would be self-inflicted in the user's own tab.
Exit criteria (remove each --ignore when met)
  • extract-zip: @lhci/cli / puppeteer ships a patched extractor, or Lighthouse CI is replaced or isolated
  • zod: @pythnetwork/hermes-client and @reown/appkit-wallet move to zod ≥ 4.6.6 (or we replace them)
  • Review deadline: 2027-01-18. Re-check sooner whenever Dependabot bumps either parent.
Ngôn ngữ chính
TypeScript
Star
3
Fork
112
Merge trung bình
1 ngày 9 giờ
Pull request đã merge (30 ngày)
36

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của SO4-Markets/interface

Tất cả issue của SO4-Markets/interface

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.