🤖 security: Dependabot updates fail on every run; 12 open alerts have no PRs

Đang mở
  • Có gì không ổn?
#7,384 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
20/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
bun, github-actions, typescript
Lĩnh vực
devops, security

Hướng nghiên cứu

Start with the failed “Dependabot Updates” runs (for example, 40059914613) and the repository’s Bun and Dependabot configuration; the error says Bun is misconfigured, but the issue does not identify the cause. Trace the configuration that Dependabot uses and confirm a run can fetch files successfully. The listed package updates and follow-up checklist are separate work with dependencies and runtime checks; coordinate with the named fix-next lane and coordinator.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

bug

Problem

Dependabot security updates fail on every run, so 12 open Dependabot alerts (7 high) have no update PRs. The last 20 "Dependabot Updates" runs all failed with:

Error during file fetching; aborting: Dependabot detected that Bun is misconfigured in this repository.

(for example runs 40059914613 and 40059913579, 2026-10-24 03:50Z). Some alerts have been open since 2026-07-21.

Open alerts (2026-10-24)

What ships in the app (dependencies, used from src/):

Package Pinned Severity Fixed in
@modelcontextprotocol/client 2.0.0 high (CVE-2026-104850), medium (CVE-2026-111769) 2.3.0
stream-json (used by historyRowScanner.ts) 3.6.0 medium (CVE-2026-114129) 3.7.0
sharp (lazy-loaded by resizeRasterImageAttachment.ts for attach_file; the macOS build ships its runtime) ^0.34.5 (0.34.5) high x3 0.35.5
happy-dom (web_fetch.ts parses every fetched page with a happy-dom Window) 20.0.11 (patched, see #6344 / #6348) high x3 (incl. CVE-2026-115895) 21.0.4

Dev tooling only (uv.lock, Xum ships no Python):

Package Severity Fixed in
filelock high (CVE-2026-112940), low x2 4.2.1

Plan

  1. One PR bumps the shipped packages: @modelcontextprotocol/client 2.3.0 and stream-json 3.7.0.
  2. One PR bumps sharp to 0.35.5 (a shipped package: needs the perf gate and a macOS attach-file runtime check) and filelock to 4.2.1 (uv lock --upgrade-package filelock).
  3. happy-dom 21.x gets its own PR, because 20.0.11 carries a local patch (#6344 / #6348). It ships in the app (web_fetch).
  4. Find why Dependabot reports Bun as misconfigured, so future alerts get PRs again.

Generated with xum • Model: anthropic:claude-opus-5-5 • Thinking: high

Correction (2026-10-24): the first version of this issue listed sharp as scripts-only. The desk lane found the runtime use in src/node/utils/attachments/resizeRasterImageAttachment.ts (import type plus a lazy load, which my search missed).

Follow-up checklist

  • After 2026-10-27, remove minimumReleaseAgeExcludes = ["happy-dom"] from bunfig.toml (added by #7393 for happy-dom 21.0.4, released 2026-10-20). Owner: the F159 fix-next lane, then the issue fix coordinator desk.
  • When litellm allows filelock >= 4.2.1, run uv lock --upgrade-package filelock (see the comment above).
    Second correction (2026-10-24): happy-dom is also shipped, not test-only. src/node/services/tools/web_fetch.ts imports it to parse fetched pages. The desk lane and the perf owner found it; my search missed it again.
Ngôn ngữ chính
TypeScript
Star
2.1k
Fork
139
Merge trung bình
3 giờ 35 phút
Pull request đã merge (30 ngày)
950

Chuẩn bị môi trường

  • Có Dockerfile hoặc tệp Docker Compose
  • Không có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của coder/xum

Tất cả issue của coder/xum

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.