Development toolchain includes an audited vulnerable Zod version

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#3,725 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 2 ngày

@ppcvote đang làm issue này rồi.

Từ ngày 2/11/2026.

  • #3801 của @ppcvote — đang mở

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
70/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
javascript, node.js
Lĩnh vực
security, tooling

Hướng nghiên cứu

Bắt đầu bằng cách tìm tệp kê khai gói và tệp khóa của chuỗi công cụ frontend, sau đó kiểm tra cách Zod được phân giải. Cập nhật cách phân giải phụ thuộc tương thích lên Zod 4.6.6 hoặc mới hơn và chạy lint cùng các bài kiểm thử. Hoàn tất khi các bước kiểm tra đó đạt và tệp khóa phân giải phiên bản đã được vá.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

help wanted
Is your feature request related to a problem? Please describe.

The frontend development toolchain resolves a Zod version below the audited patched version. The package is dev-only and absent from the production audit; no production exposure is claimed.

Describe the solution you'd like

Update the compatible toolchain/lockfile so Zod resolves to 4.6.6 or newer, then verify lint and tests.

Describe alternatives you've considered, if relevant.

If an immediate update is incompatible, document the blocker and track the update; do not describe the advisory as browser-app exploitation.

Additional context

Full npm audit identified high advisory GHSA-mrhx-c7xc-m3w5 (<4.6.6, oversized constrained collection validation memory exhaustion). Production-only audit did not include this Zod finding. Tested commit d3446e045960b5ebee4641aa70fdeb03af186587, PyRIT 1.2.0.dev0, offline dependency audit. Evidence: files/evidence/round4/npm-audit.json; local path is not an attachment.

Ngôn ngữ chính
Python
Star
4.7k
Fork
1k
Merge trung bình
2 ngày 3 giờ
Pull request đã merge (30 ngày)
450

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của microsoft/PyRIT

Tất cả issue của microsoft/PyRIT

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.