Security: 61 vulnerabilities in dev dependencies (dumi/umi/webpack toolchain)

未关闭

#1,216 创建于 2026年3月2日 0 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 35/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 停滞
技术栈: node.js, typescript, webpack
领域: build-system, ci-cd

调研方向

首先运行 npm audit，并将其与 npm audit --omit=dev 进行比较，以确认受影响的开发工具链。检查 dumi、umi、webpack 和 father 的依赖路径，然后评估安全的升级方案，以及是否可以在 CI 中跟踪 npm audit --audit-level=high；当报告的开发依赖漏洞已得到修复且不依赖 --force 时，即表示完成。

由索引模型根据 Issue 内容生成。

描述

Summary

npm audit reports 61 vulnerabilities (25 high, 28 moderate, 8 low) when dev dependencies are included. They come from the docs/build toolchain (dumi, umi, webpack, father, etc.), not from the published library’s production dependencies.

Impact

Production / published package: No impact — npm audit --omit=dev shows 0 vulnerabilities.
Developers & CI: Anyone running npm install, npm run build, npm run compile, or npm start (dumi dev) installs and uses these vulnerable dev dependencies.

Notable advisories (high severity)

serialize-javascript — RCE via RegExp.flags / Date.prototype.toISOString
minimatch — ReDoS
node-fetch — header forwarding / redirect size issues
path-to-regexp — backtracking ReDoS
nth-check — ReDoS
Plus moderate issues in @babel/runtime, esbuild, react-router, ajv, elliptic, send, etc.

Suggested actions

Run npm audit and, where safe, npm audit fix (avoid --force unless you accept breaking changes).
Upgrade dumi/umi and related tooling to versions that depend on patched packages.
Optionally track this in CI (e.g. npm audit --audit-level=high) so regressions are caught.

Hey, @afc163 are you able to assign it to me, if needed?
Best regards.

主要语言: TypeScript
星标: 938
派生: 482
平均合并: 15 小时 8 分钟
30 天内合并 PR: 2

贡献指南

这个仓库没有索引到贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

react-component/select 的其他 Issue

Can't create a Select component with a Object value 未关闭

难度 2/5 1-3 小时新手友好度 45/100

react-component/select#1159 · 2025年7月29日创建
a11y 问题未关闭

难度 3/5 1-2 天新手友好度 35/100

react-component/select#1087 · 1 个 reaction · 2024年11月13日创建
showSearch 默认值是 false 把未关闭

难度 3/5 1-2 天新手友好度 25/100

react-component/select#1086 · 2024年11月13日创建
选择的过程中页面左上角出现搜一搜系统级别tip 怀疑是input 的 type search 引起的未关闭

难度 3/5 1-2 天新手友好度 30/100

react-component/select#1082 · 1 条评论 · 2024年10月31日创建
Select组件tags模式小疑问未关闭

难度 3/5 1-2 天新手友好度 42/100

react-component/select#1075 · 2024年10月8日创建

查看 react-component/select 的全部 Issue

相似的 Issue

Ajv defaults: non-standard "format": "json" in third-party schemas (e.g. Notion) warns twice per property — register it like #2601 未关闭

难度 2/5 1-3 小时新手友好度 70/100

modelcontextprotocol/typescript-sdk#2854 · 2026年9月24日创建
[Bug]: ctx_search rejects singular 'query' param despite schema declaring it valid 未关闭

难度 2/5 1-3 小时新手友好度 75/100

mksglu/context-mode#1200 · 2026年9月24日创建
[chore]: test(search): Migrate ResultItemTitle unit tests to TypeScript 未关闭

难度 2/5 1-3 小时新手友好度 75/100

jaegertracing/jaeger-ui#4506 · 2026年9月24日创建
[BUG] "$250 credit for cloud sessions" gift icon is unclickable 未关闭

area:desktop area:ui bug platform:macos

难度 2/5 1-3 小时新手友好度 75/100

anthropics/claude-code#96687 · 2026年9月24日创建
[GOOD FIRST ISSUE]: Clean Up Frontend Authentication Page & Context 未关闭

good first issue

难度 1/5 1 小时以内新手友好度 95/100

AOSSIE-Org/DebateAI#582 · 2 条评论 · 2026年9月24日创建

更多 TypeScript Issue