[email protected] still references tailwind-merge-v2 and tailwind-merge-v3 alias packages

Đang mở
  • Có gì không ổn?
#1,672 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
48/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
react, tailwindcss, typescript
Lĩnh vực
frontend, security

Hướng nghiên cứu

Kiểm tra package.json đã phát hành của [email protected] và lockfile được tạo ra để truy vết nơi tailwind-merge-v2 và tailwind-merge-v3 được tham chiếu. Công việc được xem là hoàn tất khi package đã phát hành không còn cài đặt các alias đó hoặc cung cấp một cách được ghi chép để các consumer downstream tránh chúng, đồng thời các cảnh báo về dependency đã được báo cáo được giải quyết.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

  • I have searched the Issues to see if this bug has already been reported
  • I have tested the latest version

Steps to reproduce

  1. Install [email protected] in a React app
  2. Run npm install
  3. Inspect node_modules/flowbite-react/package.json or the generated lockfile

Current behavior

flowbite-react still brings in these alias dependencies:

Both of these aliases are being flagged by GitHub Advanced Security as well as npmjs as having contained malware: https://github.com/advisories/GHSA-53q4-wj32-3vv9 and https://github.com/advisories/GHSA-3679-84c2-v5xm

Because the aliases are referenced directly in the published package code it causes dependency review tooling to flag them in downstream projects and mark the project as insecure. Another issue on this topic is #1665 user closed it.

Expected behavior

I’d expect the published package to avoid installing the aliased tailwind-merge-v2 / tailwind-merge-v3 packages, or at least provide a path for downstream consumers to avoid them.

Context

We use flowbite-react in a corporate GitHub environment with dependency review on PRs. These alias packages are being flagged by security policy, which blocks merges for downstream consumers even though we do not reference them directly in our app.

Ngôn ngữ chính
TypeScript
Star
2.1k
Fork
502
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của themesberg/flowbite-react

Tất cả issue của themesberg/flowbite-react

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.