Published npm-shrinkwrap.json pins [email protected] with vulnerable [email protected]
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 55/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 活跃
- 技术栈
- javascript, node.js
- 领域
- build-system, release, security
调研方向
首先定位已发布的 npm-shrinkwrap.json 的生成过程，并检查 [email protected] 是如何进入 @salesforce/cli 包的。使用 npm ci 重现一次干净安装，将生成的依赖更新到 [email protected] 或更高版本，并在发布新的 CLI 版本之前确认 tar 已不再是 7.5.19。
由索引模型根据 Issue 内容生成。
描述
Summary
Published @salesforce/cli packages include an npm-shrinkwrap.json that pins [email protected]. That npm release bundles [email protected], which is affected by:
- GHSA-r292-9mhp-454m
- CVE-2026-73566
- Patched in
[email protected]
[email protected] bundles the fixed [email protected].
Affected releases
I confirmed the following published CLI releases contain the same vulnerable dependency chain:
@salesforce/[email protected]@salesforce/[email protected](currentlatest)@salesforce/[email protected](currentlatest-rc)
Dependency path:
@salesforce/cli
└── [email protected]
└── [email protected]
Consumer impact
Dependabot reports this as a high-severity runtime vulnerability. Consumers cannot cleanly remediate it themselves because the published CLI shrinkwrap dictates the nested npm dependency.
I tested the following approaches:
npm update npm
Root-level npm overrides
Overrides scoped beneath @salesforce/cli
Adding [email protected] as a direct dependency
Manually updating the consuming repository's package-lock.json
None fixes a clean installation. npm ci follows the CLI's published shrinkwrap and reinstalls [email protected] and [email protected]. A manual lockfile edit can make dependency scanning appear fixed while leaving the installed package vulnerable.
Requested fix
Please update the CLI's generated shrinkwrap to use [email protected] or newer and publish a new @salesforce/cli release.
Expected dependency path:
Thank you!
- 主要语言
- 没有语言数据
- 星标
- 571
- 派生
- 80
- 平均合并
- 14 小时 43 分钟
- 30 天内合并 PR
- 5
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
forcedotcom/cli 的其他 Issue
-
sf agent mcp asset replace --assets null throws raw TypeError instead of InvalidShape可能已有人在做 @konkonrong-lgtm 于 71 天前认领。 未关闭area:afdx bug investigating owned by another team validated
难度 2/5 1-3 小时 新手友好度 78/100
forcedotcom/cli#3625 · 4 条评论 ·
-
area:afdx bug owned by another team
难度 2/5 1-3 小时 新手友好度 78/100
forcedotcom/cli#3608 · 2 条评论 ·
-
announcement
难度 1/5 1 小时以内 新手友好度 1/100
forcedotcom/cli#3668 ·
-
bug investigating validated
难度 3/5 1-2 天 新手友好度 66/100
forcedotcom/cli#3667 · 5 条评论 ·
-
[BUG]: sf package version create always warns about org-capitalize-record-types, even when it's set未关闭area:packaging more information required owned by another team regression stale
难度 3/5 1-2 天 新手友好度 52/100
forcedotcom/cli#3663 · 5 条评论 ·
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 68/100
maniator/verticopolis#1303 · 1 条评论 ·
维护者通常 1 天内回复
-
`@vanilla-extract/turbopack-plugin`: "getImageSize is not a function" with Next.js 16.4.x when a `.css.ts` file imports an image可能已有人在做 @aevarOrigo 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 78/100
vanilla-extract-css/vanilla-extract#1799 · 1 条评论 ·
-
Cannot find symbol CTypedef可能已有人在做 @pellico 今天认领。 未关闭bug
难度 1/5 1 小时以内 新手友好度 82/100
-
难度 2/5 1-3 小时 新手友好度 66/100
-
in progress priority: low shared
难度 2/5 1-3 小时 新手友好度 64/100
storytold/photocraft#8616 · 1 条评论 ·
维护者通常 2 天内回复