Upgrade kolibri-design-system to a release that pins lodash 4.18.1

Đang mở
  • Có gì không ổn?
#6,381 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
25/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
javascript
Lĩnh vực
frontend, security

Hướng nghiên cứu

Start by checking Studio's package manifest and pnpm-lock.yaml, then identify the first kolibri-design-system release whose package.json pins lodash 4.18.1. Review the KDS release notes and Studio components for API changes, then run pnpm build, pnpm test, and pnpm audit --prod. Done means the lockfile has no lodash 4.17.23 entry and all three commands pass.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

dependencies javascript

❌ This issue is not open for contribution. Visit Contributing guidelines to learn about the contributing process and how to find suitable issues.

Overview

Studio's frontend bundle still ships lodash 4.17.23, the version patched by GHSA-f23m-r3pf-42rh and CVE-2026-4800, because kolibri-design-system 5.10.0 pins it exactly. Studio should move to a KDS release that pins lodash 4.18.1, so a single lodash copy resolves.

Complexity: Low
Target branch: unstable

Context
  • Dependabot PR #6380 targeted lodash 4.17.23 → 4.18.1; unstable already has that bump (c4a855604). The PR was closed unmerged.
  • pnpm-lock.yaml on unstable still resolves lodash: 4.17.23 under [email protected].
  • KDS develop pins "lodash": "4.18.1" since learningequality/kolibri-design-system#1232; the v5.10.0 tag, the latest release, does not include it.
  • KDS 5.10.0 imports only debounce, throttle, merge, cloneDeep, get, has and similar; none of template, unset, omit.
  • Lockstep: KDS pins lodash to an exact version, so kolibri-design-system and Studio's own lodash must match to share one copy. Each later lodash bump in Studio needs a matching KDS release.
The Change
  • Bump kolibri-design-system to the first release whose package.json pins lodash 4.18.1.
  • Handle any KDS API changes between 5.10.0 and that release in Studio's components.
Acceptance Criteria
  • pnpm-lock.yaml contains no [email protected] entry.
  • pnpm build and pnpm test pass.
  • pnpm audit --prod reports no lodash advisories.

AI usage

rtibblesbot (Claude Code) reviewed #6380, traced the leftover lodash 4.17.23 to KDS through the lockfile, the KDS 5.10.0 npm tarball and the KDS repo, and drafted this issue.

Filed from #6380's review.

Ngôn ngữ chính
Python
Star
211
Fork
317
Merge trung bình
4 ngày 2 giờ
Pull request đã merge (30 ngày)
23

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của learningequality/studio

Tất cả issue của learningequality/studio

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.