Development toolchain includes an audited vulnerable Zod version
维护者通常 2 天内回复
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 70/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 活跃
- 技术栈
- javascript, node.js
调研方向
首先找到前端工具链的包清单和锁定文件，然后检查 Zod 的解析方式。将兼容的依赖解析更新到 Zod 4.6.6 或更高版本，并运行 lint 和测试。完成标准是这些检查均通过，且锁定文件解析到已修复的版本。
由索引模型根据 Issue 内容生成。
描述
Is your feature request related to a problem? Please describe.
The frontend development toolchain resolves a Zod version below the audited patched version. The package is dev-only and absent from the production audit; no production exposure is claimed.
Describe the solution you'd like
Update the compatible toolchain/lockfile so Zod resolves to 4.6.6 or newer, then verify lint and tests.
Describe alternatives you've considered, if relevant.
If an immediate update is incompatible, document the blocker and track the update; do not describe the advisory as browser-app exploitation.
Additional context
Full npm audit identified high advisory GHSA-mrhx-c7xc-m3w5 (<4.6.6, oversized constrained collection validation memory exhaustion). Production-only audit did not include this Zod finding. Tested commit d3446e045960b5ebee4641aa70fdeb03af186587, PyRIT 1.2.0.dev0, offline dependency audit. Evidence: files/evidence/round4/npm-audit.json; local path is not an attachment.
- 主要语言
- Python
- 星标
- 4.7k
- 派生
- 1k
- 平均合并
- 2 天 2 小时
- 30 天内合并 PR
- 439
环境准备
在浏览器里用你自己的 GitHub 账号启动这个项目的开发容器。
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 没有贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
microsoft/PyRIT 的其他 Issue
-
Description-only preset edits split comma-containing exact goals into separate goals可能已有人在做 @MRX-72 于 1 天前认领。 未关闭help wanted
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 2 天内回复
-
GUI rejects valid empty-string SearchReplaceConverter settings, preventing deletion converters可能已有人在做 @Darshika140 于 1 天前认领。 未关闭help wanted
难度 2/5 1-3 小时 新手友好度 76/100
microsoft/PyRIT#3749 · 1 条评论 ·
维护者通常 2 天内回复
-
HTML scenario export replaces an intentionally empty converted message with the original text可能已有人在做 @VISHNU0906 于 1 天前认领。 未关闭help wanted
难度 2/5 1-3 小时 新手友好度 77/100
microsoft/PyRIT#3741 · 1 条评论 · 已指派 1 人 ·
维护者通常 2 天内回复
-
help wanted
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 2 天内回复
-
TextTarget is described as using API-key authentication even though it needs no credentials可能已有人在做 @pcbeingused333 于 1 天前认领。 未关闭help wanted
难度 2/5 1-3 小时 新手友好度 74/100
维护者通常 2 天内回复
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 62/100
huggingface/smolagents#3106 ·
维护者通常 2 天内回复
-
area:scripts area:tests bug priority:later
难度 2/5 1-3 小时 新手友好度 72/100
Ikalus1988/MisakaNet#4358 ·
维护者通常 1 天内回复
-
Discovered ports from service discovery are never propagated to modules in Module.load()可能已有人在做 @vishalmore90 今天认领。 未关闭
难度 2/5 1-3 小时 新手友好度 70/100
OWASP/Nettacker#1828 · 1 条评论 ·
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 88/100
aws-samples/sample-per-model-bedrock#708 ·
维护者通常 1 天内回复
-
maintenance
难度 2/5 1-3 小时 新手友好度 62/100