[potential Security Alert] New `test-nuxt-app` script added in `@api-platform/client-generator@0.8.0`

未关闭

#397 创建于 2026年5月31日 0 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 38/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 冷清
技术栈: node.js, nuxt, typescript
领域: security

调研方向

首先检查警报中显示的 test-nuxt-app 脚本，以及版本 0.8.0 的 @api-platform/client-generator 软件包脚本；该 issue 未指定源文件或测试。确定该脚本是否构成安全风险，并报告能够解决该警报的证据；未提供验收标准或复现步骤。

由索引模型根据 Issue 内容生成。

描述

A new test-nuxt-app script was detected in version 0.8.0 of the package @api-platform/client-generator.

Suspicion Score: 13/100

Script content:

rm -rf ./tmp/app && mkdir -p ./tmp/app && yarn create nuxt-app --answers "'{\"name\":\"nuxt\",\"language\":\"js\",\"pm\":\"yarn\",\"ui\":\"vuetify\",\"features\":[],\"linter\":[],\"test\":\"none\",\"mode\":\"spa\",\"target\":\"static\",\"devTools\":[],\"vcs\":\"none\"}'" ./tmp/app/nuxt && yarn --cwd ./tmp/app/nuxt add moment lodash vuelidate vuex-map-fields && cp -R ./tmp/nuxt/* ./tmp/app/nuxt && NUXT_TELEMETRY_DISABLED=1 yarn --cwd ./tmp/app/nuxt generate && start-server-and-test 'yarn --cwd ./tmp/app/nuxt start --hostname 127.0.0.1' http://127.0.0.1:3000/books/ 'yarn playwright test'

see npm documentation on package scripts for more details.
and the detector. to understand why this script might be dangerous.
to get the alert only for dangerous scripts, please visitthe telegram if you want to improve the algorythm open a pull request
This could be a security risk. Please investigate.

主要语言: TypeScript
星标: 376
派生: 132
PR 合并指标: 30 天内没有已合并 PR