bump solid-js to avoid security vulnerability
オープン
まだ誰も着手していません。
- 主要言語
- TypeScript
- スター
- 499
- フォーク
- 100
- 平均マージ
- 1日 17時間
- マージ済み PR(30日)
- 4
説明
TanStack Devtools version
v0.10.0
Framework/Library version
React 19.2.4
Describe the bug and the steps to reproduce it
solid-js depends on seroval, which has a vulnerability issue. It's been addressed in solid-js@1.9.11 as per this issue.
However, tooling on my repository still reports this issue:
Dependency chain: @tanstack/react-devtools → @tanstack/devtools@0.11.0 → solid-js@1.9.10 → seroval@1.3.2
Your Minimal, Reproducible Example - (Sandbox Highly Recommended)
Screenshots or Videos (Optional)
No response
Do you intend to try to help solve this bug with your own PR?
No, because I do not have time to dig into it
Terms & Code of Conduct
- I agree to follow this project's Code of Conduct
- I understand that if my bug cannot be reliable reproduced in a debuggable environment, it will probably not be fixed and this issue may even be closed.
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
調査の方向性
まず、@tanstack/react-devtools → @tanstack/devtools → solid-js のチェーンにおける依存関係の宣言と lockfile を特定し、解決されたバージョンを solid-js@1.9.11 およびレポートで参照されている upstream issue と比較します。依存関係が、報告された seroval の脆弱性をもはや取り込まないバージョンに解決されれば完了です。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- react, typescript
- 領域
- security, tooling
- issue の種類
- バグ
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 活発さ
- 静か
- 明瞭さ
- おおむね明確
- 初心者へのやさしさ
- 45/100