gleam-lang/gleam

Warn when a vulnerable package version is added as a dependency

Open

#5,725 建立於 2026年5月18日

在 GitHub 查看
 (2 留言) (0 反應) (0 負責人)Rust (960 fork)batch import
help wanted

倉庫指標

Star
 (21,417 star)
PR 合併指標
 (平均合併 10天 19小時) (30 天內合併 69 個 PR)

描述

Hex now contains information on CVEs that we can use to display warnings when used. Let's use this information to display a warning when a newly resolved version of a dependency is vulnerable.

We could also have a command for showing vulnerabilities for the current package versions.

Reference implementation for Elixir: https://github.com/hexpm/hex/pull/1150

貢獻者指南

研究方向
研究Hex如何收集和提供CVE數據，然後在Gleam的依賴解析器中實現一個警告，檢查已解析的版本是否存在已知漏洞。
技術棧
rustelixir
領域
backendsecurity
議題類型
功能
難度面向新貢獻者的預計實作難度，1 表示很小改動，5 表示專家級工作。
3
預計時間有經驗貢獻者完成調查、實作、測試並準備 pull request 的粗略時間範圍。
1-2 天
活動狀態議題目前的可參與程度：新鮮、活躍、陳舊、阻塞或等待維護者輸入。
活躍
清晰度議題是否清楚說明預期改動、驗收標準和下一步。
清晰
前置要求
GleamRustHex package managerCVEs
新手友善度1-100 的估計分數，表示該議題對首次貢獻者的友善程度。
40