Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

[rush] rush-lib bundles pnpm-sync-lib that pins vulnerable [email protected]

Đang mở
  • Có gì không ổn?
#5,833 3 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
25/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
nodejs, typescript, yaml
Lĩnh vực
build-system, security, tooling

Hướng nghiên cứu

Start with packages/pnpm-sync-lib/package.json in the linked pnpm-sync repository and verify the exact [email protected] pin against GHSA-48c2-rrv3-qjmp. Trace how pnpm-sync-lib enters @microsoft/rush-lib's install-run bootstrap, then determine whether an upstream dependency update is available; done means the Rush dependency chain no longer installs the vulnerable yaml version.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Summary

@microsoft/rush-lib depends on [email protected], which exact-pins [email protected]. That version is flagged by security scanners / Component Governance under GHSA-48c2-rrv3-qjmp — "yaml is vulnerable to Stack Overflow via deeply nested YAML collections" (Moderate; vulnerable >=2.0.0 <2.8.3, patched >=2.8.3).

Because this yaml is pulled into Rush's install-run bootstrap (common/temp/install-run/@microsoft+rush@<version>/), it cannot be remediated by any consumer-side Rush configuration (details below). It can only be fixed upstream.

The root pin is already tracked at tiktok/pnpm-sync#44, but that issue has been open since 2026-03-26 with no maintainer response, and pnpm-sync appears unmaintained (last commit ~10 months ago). Since @microsoft/rush-lib is the primary consumer of pnpm-sync-lib, raising it here so Rush can drive a resolution.

Dependency chain

[email protected]
  node_modules/yaml
    yaml@"2.4.1" from [email protected]
      node_modules/pnpm-sync-lib
        pnpm-sync-lib@"0.3.3" from @microsoft/rush-lib@<version>
          @microsoft/rush-lib from @microsoft/rush@<version>

pnpm-sync-lib hard-codes "yaml": "2.4.1" (exact, not a range) in every published version up to and including the latest 0.3.3:
https://github.com/tiktok/pnpm-sync/blob/main/packages/pnpm-sync-lib/package.json

Confirmed on @microsoft/[email protected] and @microsoft/[email protected]; the latest @microsoft/[email protected] still declares "pnpm-sync-lib": "0.3.3".

Ngôn ngữ chính
TypeScript
Star
6.5k
Fork
710
Merge trung bình
1 ngày 18 giờ
Pull request đã merge (30 ngày)
48

Chuẩn bị môi trường

Mở trong Codespaces

Khởi chạy dev container của dự án ngay trên trình duyệt, bằng tài khoản GitHub của bạn.

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của microsoft/rushstack

Tất cả issue của microsoft/rushstack

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.