[Security] Remove temporary audit exceptions: extract-zip (GHSA-jmr9/7pqw) and zod 3 (GHSA-mrhx-c7xc-m3w5)
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 35/100
- Issue 类型
- 功能
- 描述清晰度
- 描述清楚
- 活跃度
- 活跃
- 技术栈
- bun, github-actions, typescript
调研方向
Read .github/DEPENDENCY_SECURITY.md and the audit command plus exceptions in .github/workflows/ci.yml; check Dependabot updates for the named parent packages. The issue is complete when each exception can be removed under its stated exit criteria, then verify with bun audit --audit-level=high.
由索引模型根据 Issue 内容生成。
描述
Context
bun audit --audit-level=high fails on three high advisories that have no fix available through any compatible upgrade. The maintainer (@IbrahimIjai) approved time-boxed exceptions on 2026-10-26, per .github/DEPENDENCY_SECURITY.md. They are documented beside the audit command in .github/workflows/ci.yml.
| GHSA | Package | Path | Reachability |
|---|---|---|---|
| GHSA-jmr9-qjv8-65gv | extract-zip 2.0.1 | docs → @lhci/cli → lighthouse → puppeteer-core → @puppeteer/browsers | CI only. Extracts the Chromium download from Google's CDN; never handles user-supplied ZIPs. Not in any shipped bundle. |
| GHSA-7pqw-9j4j-h8q3 | extract-zip 2.0.1 | same | same |
| GHSA-mrhx-c7xc-m3w5 | zod 3.22.4 / 3.23.8 / 3.25.76 | web → @pythnetwork/hermes-client; web → @creit.tech/stellar-wallets-kit → @reown/appkit-wallet; build tooling | Runtime: zod 3 validates responses from Pyth Hermes (via our own /api/pyth proxy, which only forwards the app's fixed feed IDs) and the Reown wallet SDK. No user-controlled collection reaches a constrained zod schema. Memory DoS would be self-inflicted in the user's own tab. |
Exit criteria (remove each --ignore when met)
- extract-zip: @lhci/cli / puppeteer ships a patched extractor, or Lighthouse CI is replaced or isolated
- zod: @pythnetwork/hermes-client and @reown/appkit-wallet move to zod ≥ 4.6.6 (or we replace them)
- Review deadline: 2027-01-18. Re-check sooner whenever Dependabot bumps either parent.
- 主要语言
- TypeScript
- 星标
- 3
- 派生
- 112
- 平均合并
- 1 天 9 小时
- 30 天内合并 PR
- 36
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
SO4-Markets/interface 的其他 Issue
-
bug good first issue phase:9-ux priority:medium
难度 2/5 1-3 小时 新手友好度 65/100
SO4-Markets/interface#969 · 1 条评论 ·
维护者通常 1 天内回复
-
help wanted priority:medium type:refactor
难度 2/5 1-3 小时 新手友好度 70/100
SO4-Markets/interface#942 · 1 条评论 ·
维护者通常 1 天内回复
-
good first issue priority:medium type:refactor
难度 2/5 1-3 小时 新手友好度 68/100
SO4-Markets/interface#937 · 1 条评论 ·
维护者通常 1 天内回复
-
good first issue priority:medium type:refactor
难度 2/5 1-3 小时 新手友好度 62/100
SO4-Markets/interface#936 · 1 条评论 ·
维护者通常 1 天内回复
-
bug good first issue priority:medium type:refactor
难度 2/5 1-3 小时 新手友好度 65/100
SO4-Markets/interface#935 · 1 条评论 ·
维护者通常 1 天内回复
查看 SO4-Markets/interface 的全部 Issue
相似的 Issue
-
🐛 The Rulekeeper - An index run that gives up on the lock ends Succeeded可能已有人在做 @github-actions 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 72/100
SSWConsulting/SSW.Rules#2809 · 1 条评论 ·
维护者通常 1 天内回复
-
automated-triage type/bug type/ci
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
📦 expo-router Android contributor: external needs review sdk-58 severity: medium
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
documentation good first issue
难度 2/5 1-3 小时 新手友好度 84/100
asasemahmed/openboard#68 ·
维护者通常 1 天内回复