Repository navigation
[dépendances] minimatch < 11.0.1 (GHSA-g3hv-75wg-m249) #100
Description
Constat
Alerte Dependabot #11, gravité moyenne : minimatch >= 7.0.0, < 11.0.1 (GHSA-g3hv-75wg-m249). Avec optimizationLevel >= 2, un motif choisi par un attaquant fait grossir globParts puis coûte un temps quadratique (déni de service). Corrigé en 11.0.1.
minimatch 10.2.6 n'arrive que par des dépendances de développement, jamais dans dist/ :
lighthouse→@sentry/node11.10.0 →@sentry/bundler-plugins→glob13.0.6. glob appelle minimatch avecoptimizationLevel: 2: c'est le seul chemin qui atteint le code vulnérable.@sentry/node11.11.0 (dans la plage^11.8.0de lighthouse 13.6.0) passe àglob^14.0.3, qui dépend de minimatch^11.0.5.eslint10.14.0,@eslint/config-array0.23.5 et@typescript-eslint/typescript-estree8.72.1 déclarent minimatch^10, sans 10.x corrigée. Aucun ne passeoptimizationLevel(niveau 1 par défaut), et les motifs viennent de notre configuration : code vulnérable non atteint. Correction en amont : Change Request: Use minimatch 11.0.1 or greater eslint/eslint#21463.
À faire
- Mettre à jour le lockfile pour que la chaîne lighthouse tire minimatch 11 (sans
overrideshors des plages déclarées). - Mettre à jour eslint et typescript-eslint quand ils acceptent minimatch 11, puis vérifier que l'alerte se ferme.
Activity
chore(deps): move lighthouse's glob chain to minimatch 11 (#103)