TanStack / TanStack/devtools

bump solid-js to avoid security vulnerability

オープン
#410 コメント 1 件 リアクション 1 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

主要言語
TypeScript
スター
499
フォーク
100
平均マージ
1日 17時間
マージ済み PR(30日)
4

説明

TanStack Devtools version

v0.10.0

Framework/Library version

React 19.2.4

Describe the bug and the steps to reproduce it

solid-js depends on seroval, which has a vulnerability issue. It's been addressed in solid-js@1.9.11 as per this issue.

However, tooling on my repository still reports this issue:

Dependency chain: @tanstack/react-devtools → @tanstack/devtools@0.11.0 → solid-js@1.9.10 → seroval@1.3.2
Your Minimal, Reproducible Example - (Sandbox Highly Recommended)
Screenshots or Videos (Optional)

No response

Do you intend to try to help solve this bug with your own PR?

No, because I do not have time to dig into it

Terms & Code of Conduct
  • I agree to follow this project's Code of Conduct
  • I understand that if my bug cannot be reliable reproduced in a debuggable environment, it will probably not be fixed and this issue may even be closed.

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

調査の方向性

まず、@tanstack/react-devtools → @tanstack/devtools → solid-js のチェーンにおける依存関係の宣言と lockfile を特定し、解決されたバージョンを solid-js@1.9.11 およびレポートで参照されている upstream issue と比較します。依存関係が、報告された seroval の脆弱性をもはや取り込まないバージョンに解決されれば完了です。

索引モデルが issue の本文から書いたものです。

評価

技術スタック
react, typescript
領域
security, tooling
issue の種類
バグ
難易度
2/5
見積もり時間
1〜3時間
活発さ
静か
明瞭さ
おおむね明確
初心者へのやさしさ
45/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。