4.2.0 pins axios, @xmldom/xmldom and mocha (serialize-javascript) to versions with high-severity advisories
维护者通常 2 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 68/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 活跃
- 技术栈
- javascript, nodejs
- 领域
- security
调研方向
检查 axios、@xmldom/xmldom 和 mocha/serialize-javascript 的依赖声明，然后在一个全新的项目中运行 npm audit，以确认报告的 advisories。使用经过验证的 Playwright helper 及其九个 E2E 场景进行回归检查；完成的标准是无需 overrides 即可使用已修复的依赖版本，并且这些场景仍然通过。
由索引模型根据 Issue 内容生成。
描述
[email protected] pins three dependencies to exact versions that have published high-severity advisories. Because the versions are exact, users cannot pick up the patched releases without overrides.
| Dependency | Pinned | Patched | Advisories (examples) |
|---|---|---|---|
axios |
1.16.1 |
1.20.0 |
GHSA-9fr6-4gfg-395g, GHSA-c29m-xwm3-cm6r, GHSA-mghh-pgcx-3jjj, GHSA-j8rh-479h-cp32 (and ~20 more fixed in 1.18–1.20) |
@xmldom/xmldom |
0.9.10 |
0.9.12 |
GHSA-6gmq-8vp8-gcm6, GHSA-g53g-w8rj-fmg7, GHSA-w2rr-34g9-rvrj, GHSA-c7q8-3ch8-vqpv |
serialize-javascript (via [email protected]) |
6.0.2 |
7.1.2 |
GHSA-5c6j-r48x-rmvq, GHSA-qj8w-gfj5-8c6v |
npm audit on a fresh project with only [email protected] installed reports these as high.
Workaround we verified (Playwright helper, 9 E2E scenarios pass):
"overrides": {
"axios": "^1.20.0",
"@xmldom/xmldom": "^0.9.12",
"serialize-javascript": "^7.1.2"
}
serialize-javascript 7's only breaking change is "requires Node.js 20+"; mocha 12 already depends on ^7.
Suggestion: bump axios and @xmldom/xmldom, and either move to mocha@12 or use caret ranges so patch releases flow through. Happy to send a PR if that helps.
- 主要语言
- JavaScript
- 星标
- 4.2k
- 派生
- 755
- 平均合并
- 2 天 5 小时
- 30 天内合并 PR
- 27
环境准备
- 提供 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
codeceptjs/CodeceptJS 的其他 Issue
-
`I.waitForFile` (FileSystem helper) fails if directory does not exist (yet)可能已有人在做 @danielrentz 于 252 天前认领。 未关闭stale
难度 2/5 1-3 小时 新手友好度 72/100
codeceptjs/CodeceptJS#5420 · 1 条评论 ·
维护者通常 2 天内回复
-
stale
难度 2/5 1-3 小时 新手友好度 76/100
codeceptjs/CodeceptJS#5358 · 1 条评论 ·
维护者通常 2 天内回复
-
stale
难度 2/5 1-3 小时 新手友好度 78/100
codeceptjs/CodeceptJS#4958 · 10 条评论 · 2 个 reaction ·
维护者通常 2 天内回复
-
stale
难度 1/5 1 小时以内 新手友好度 72/100
codeceptjs/CodeceptJS#4778 · 3 条评论 ·
维护者通常 2 天内回复
-
难度 3/5 1-2 天 新手友好度 68/100
codeceptjs/CodeceptJS#5725 ·
维护者通常 2 天内回复
查看 codeceptjs/CodeceptJS 的全部 Issue
相似的 Issue
-
Bump Firebase JS SDK (12.19.0 → 13.0.0)可能已有人在做 @SelaseKay 今天认领。 未关闭Needs Attention type: enhancement
难度 2/5 1-3 小时 新手友好度 75/100
invertase/react-native-firebase#9364 · 1 条评论 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 67/100
tchiotludo/akhq#3307 · 1 个 reaction ·
维护者通常 1 天内回复
-
难度 1/5 1-3 小时 新手友好度 90/100
DietrichGebert/ponytail#1063 ·
维护者通常 3 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
zen-browser/desktop#15809 · 1 个 reaction ·
维护者通常 1 天内回复
-
enhancement
难度 1/5 1 小时以内 新手友好度 90/100