[security] deps: vulnerability in vite (high) #236

New issue

Closed

opened 2026-07-01 00:48:18 +00:00 by maximus · 0 comments

maximus commented

2026-07-01 00:48:18 +00:00

Owner

Contexte

Detecte par le Defenseur defenseur-simpl-resultat (npm audit) le 2026-06-30. Vulnerabilite HIGH sur vite@6.4.2, range affecte <=6.4.2 :

GHSA-v6wh-96g9-6wx3 (moderate) -- launch-editor: NTLMv2 hash disclosure via UNC path handling on Windows
GHSA-fx2h-pf6j-xcff (high) -- vite: server.fs.deny bypass on Windows alternate paths

vite est une devDependency directe. Plusieurs chemins (@tailwindcss/vite, @vitejs/plugin-react, vitest) sont tous deja deduped a la meme version -- un bump direct suffit, pas d'override necessaire.

Travail a faire

Bumper vite en ^6.4.3 dans package.json (devDependencies)
npm install pour regenerer package-lock.json
Verifier npm ls vite -> une seule version >=6.4.3 (deduped), npm audit ne liste plus ce CVE

Fichiers concernes

package.json (version de vite)
package-lock.json (regenere)

Surface de test

Aucune (dev-only : build tool + tests). Verification : npm run build (ou equivalent Tauri) et npm test passent toujours.

Criteres d'acceptation

npm audit --json | jq '.vulnerabilities.vite' vide
npm ls vite >= 6.4.3, dedupe (une seule version)
Build + tests passent toujours

Complexite estimee

Simple.

## Contexte Detecte par le Defenseur **defenseur-simpl-resultat** (npm audit) le 2026-06-30. Vulnerabilite HIGH sur `vite@6.4.2`, range affecte `<=6.4.2` : - GHSA-v6wh-96g9-6wx3 (moderate) -- launch-editor: NTLMv2 hash disclosure via UNC path handling on Windows - GHSA-fx2h-pf6j-xcff (high) -- vite: `server.fs.deny` bypass on Windows alternate paths `vite` est une devDependency directe. Plusieurs chemins (`@tailwindcss/vite`, `@vitejs/plugin-react`, `vitest`) sont tous deja deduped a la meme version -- un bump direct suffit, pas d'override necessaire. ## Travail a faire - [ ] Bumper `vite` en `^6.4.3` dans `package.json` (devDependencies) - [ ] `npm install` pour regenerer `package-lock.json` - [ ] Verifier `npm ls vite` -> une seule version `>=6.4.3` (deduped), `npm audit` ne liste plus ce CVE ## Fichiers concernes - `package.json` (version de `vite`) - `package-lock.json` (regenere) ## Surface de test Aucune (dev-only : build tool + tests). Verification : `npm run build` (ou equivalent Tauri) et `npm test` passent toujours. ## Criteres d'acceptation - [ ] `npm audit --json | jq '.vulnerabilities.vite'` vide - [ ] `npm ls vite` >= 6.4.3, dedupe (une seule version) - [ ] Build + tests passent toujours ## Complexite estimee Simple.