Decide how to clear 28 npm Dependabot alerts that need a direct dependency bump or an override

Đã đóng
  • Có gì không ổn?
#1,574 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Một pull request liên quan đã được merge.

  • #1584 của @nedtwigg — đã merge

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github, node.js, typescript
Lĩnh vực
devops, security

Hướng nghiên cứu

Start with pnpm-lock.yaml and the dependency declarations for hosted and dor-tools-builtin; the issue names those packages and their version constraints but no source files or tests. Review the linked Dependabot alerts and the listed upstream options, then determine which alerts need a direct upgrade, an override, or dismissal. Done means all 28 alerts have a maintainer decision and the applicable alerts are cleared.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

security

28 of the 58 Dependabot alerts opened on pnpm-lock.yaml on 2026-11-03 can't be cleared by a lockfile-only bump. Each needs a maintainer decision: a direct-dependency upgrade, a pnpm.overrides entry, or a dismissal as not reachable. #1573 clears the other 30. Numbers below are Dependabot alert numbers.

Package Pinned by Fix Alerts
undici 7.29.0 [email protected] (direct devDependency of hosted), exact pin 7.30.1 24–33, 49, 51, 53, 57, 59, 61, 63, 65
sharp 0.35.2 the same miniflare, exact pin 0.35.5 22, 41
dompurify 3.4.15 [email protected] (latest release), exact pin 3.4.17 38, 40, 42, 43, 44 (44 critical)
katex 0.16.47 mermaid 11.17.2 (^0.16.47) 0.18.2 39
glob 10.5.0 / 13.0.6 dependents take ^10, ^13.0.1, ~13.0.0 14.0.2 67
minimatch 5.1.9 / 9.0.9 / 10.2.x dependents take ^5.1.0, ^9.0.4, ^10.2.2, ^10.2.6 11.0.1 68

Options seen so far:

  • miniflare is a dev/test dependency of Hosted, so undici and sharp there don't ship to users. Its latest tag (4.20260730.0) pins undici 7.28.0, which is also vulnerable, so moving channels doesn't help.
  • katex clears with mermaid 12.3.0 (^0.18.0), a major bump of a direct dor-tools-builtin dependency published 2026-11-03. It becomes adoptable under the 24-hour cooldown on 2026-11-04.
  • dompurify in monaco, glob, and minimatch have no in-range fix. Clearing them means an override past the dependent's declared range, or waiting for upstream.
Ngôn ngữ chính
TypeScript
Star
5
Fork
1
Merge trung bình
11 giờ 4 phút
Pull request đã merge (30 ngày)
434

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của diffplug/dormouse

Tất cả issue của diffplug/dormouse

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.