firebase-admin@14.2.0 stable dependency tree fails npm audit via Storage uuid and Firestore google-gax

未关闭

#3,221 创建于 2026年7月28日 3 条评论 0 个 reaction 已指派 1 人在 GitHub 查看

@lahirumaramba 已经在做这个了。

开始于 2026年9月8日。

评估

这个 Issue 还没有评估数据。

描述

Summary

A Node 22 Functions package using the current stable firebase-admin@14.2.0 cannot achieve a clean production npm audit --omit=dev --audit-level=moderate without overrides, forced downgrades, or prerelease dependencies.

Reproduction

mkdir repro && cd repro
npm init -y
npm install --save-exact firebase-admin@14.2.0 firebase-functions@7.3.0
npm audit --omit=dev --audit-level=moderate

Resolved stable paths

firebase-admin@14.2.0
├─ @google-cloud/firestore@8.7.0
│  └─ google-gax@5.0.8
│     └─ rimraf@5.x -> glob@10.x -> minimatch -> brace-expansion@2.1.2
│        GHSA-mh99-v99m-4gvg (high)
└─ @google-cloud/storage@7.21.0
   ├─ gaxios@6.7.1 -> uuid@9.0.1
   └─ retry-request@7.0.2 -> teeny-request@9.0.0 -> uuid@9.0.1
      GHSA-w5hq-g745-h8pq (moderate)

firebase-admin@14.2.0, @google-cloud/firestore@8.7.0, @google-cloud/storage@7.21.0, and google-gax@5.0.8 are the current stable npm latest versions at the time of this report. npm update produced no lockfile change. The audit suggested a breaking downgrade to firebase-admin@10.3.0 for UUID, which is not a compatible mitigation.

Could Firebase Admin update its optional stable Firestore/Storage dependency chain once patched upstream releases are available, or publish guidance for a supported audit-clean resolution?

No Firebase project, credentials, tenant data, or production endpoint is involved in this report.

主要语言: TypeScript
星标: 1.7k
派生: 419
平均合并: 4 天 20 小时
30 天内合并 PR: 16

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

firebase/firebase-admin-node 的其他 Issue

getToken() replays a failed token refresh to later callers while a valid token is cached 未关闭

难度 3/5 1-2 天新手友好度 35/100

firebase/firebase-admin-node#3234 · 2026年8月15日创建
Misleading error message for THIRD_PARTY_AUTH_ERROR: raw "OAuth 2 access token" text surfaced instead of the APNs-specific message 未关闭

api: messaging

难度 3/5 1-2 天新手友好度 70/100

firebase/firebase-admin-node#3215 · 2026年7月21日创建
[FR] Expose retry-attempt observability (hook/event) — retried 503s and per-attempt latency are invisible to callers 未关闭

api: messaging

难度 5/5 一周以上新手友好度 28/100

firebase/firebase-admin-node#3214 · 2026年7月21日创建
[Firestore] Re-export functions from '@google-cloud/firestore/pipelines' 未关闭

api: firestore type: feature request

firebase/firebase-admin-node#3183 · 1 条评论 · 已指派 1 人 · 2026年6月17日创建
[Firebase v14] App Check verifyToken crashes with ERR_REQUIRE_ESM (jwks-rsa@4 require()s ESM-only jose@6) 未关闭

api: appcheck

firebase/firebase-admin-node#3181 · 2 条评论 · 5 个 reaction · 已指派 1 人 · 2026年6月16日创建

查看 firebase/firebase-admin-node 的全部 Issue

相似的 Issue

VerificationGate: ATTRIBUTION quote guard never matches a normal quotation (\b around the quote) 未关闭

难度 2/5 1-3 小时新手友好度 75/100

danielmiessler/LifeOS#2234 · 2026年9月24日创建
Search with selected text fails: input.value bypasses ngModel, query stays empty 未关闭

T: Bug

难度 2/5 1-3 小时新手友好度 75/100

Eugeny/tabby#11707 · 2026年9月24日创建
Community provider example: OpenHands -> HAL OpenAI-compatible /v1 peer 未关闭

难度 2/5 1-3 小时新手友好度 65/100

OpenHands/OpenHands#17658 · 1 条评论 · 2026年9月24日创建
[Issue] Items that are in Core are referencing IO:AUE 未关闭

难度 1/5 1 小时以内新手友好度 85/100

MegaMek/mekbay#332 · 2026年9月23日创建
CVE-2026-93748 (High) detected in http-cache-semantics-4.1.1.tgz 未关闭

Mend: dependency security vulnerability untriaged

难度 2/5 1-3 小时新手友好度 70/100

opensearch-project/OpenSearch-Dashboards#12806 · 2026年9月23日创建

更多 TypeScript Issue