Copilot CLI binary contains vulnerable version of adm-zip package
Dieses Issue hat noch niemand übernommen.
- Vorherrschende Sprache
- Shell
- Sterne
- 11.2k
- Forks
- 1.9k
- Ø Merge
- 14 Std. 16 Min.
- Gemergte PRs (30 T.)
- 6
Beschreibung
Describe the bug
My org uses XRay for scanning Docker image we built and I have a problem with building such an image with latest version of Copilot CLI 1.0.79 - it contains adm-zip v0.5.17 which have High severity CVE - CVE-2026-39244, is it possible to fix it somehow? (update adm-zip to v0.6.0)
Why even fresh Coplot CLI binary includes vulnerable package version, when fix was released in the end of June?
You dont have security assets scans at all?
Thanks.
Affected version
1.0.79
Steps to reproduce the behavior
No response
Expected behavior
No response
Additional context
No response
Beitragsleitfaden
Erste Schritte
- Lies das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreib ins Issue, dass du es übernimmst — das erspart doppelte Arbeit.
- Forke das Repository und arbeite in einem Branch.
- Öffne einen Pull Request, der die Issue-Nummer nennt.
Rechercherichtung
Beginnen Sie damit, die Abhängigkeitsmetadaten und Build-Eingaben zu ermitteln, durch die adm-zip v0.5.17 in der Copilot CLI-Binärdatei enthalten ist, und verwenden Sie den betroffenen 1.0.79-Build als Referenz. Aktualisieren Sie die Abhängigkeit auf v0.6.0, erstellen Sie die Binärdatei neu und überprüfen Sie, dass ein Image- oder Paketscan CVE-2026-39244 nicht mehr meldet.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Bewertung
- Tech-Stack
- docker, javascript
- Bereich
- cli, security
- Issue-Typ
- Bug
- Schwierigkeit
- 3/5
- Geschätzter Aufwand
- 1-2 Tage
- Aktivitätsstatus
- Ruhig
- Klarheit
- Größtenteils klar
- Anfängerfreundlichkeit
- 52/100