maximus/simpl-liste

Fork 0

[security] deps: image-size DoS (high) -- bloque upstream, suivi #108

New issue

Closed

opened 2026-08-12 00:36:09 +00:00 by maximus · 2 comments

maximus commented

2026-08-12 00:36:09 +00:00

Owner

Detection

Detecte par le Defenseur defenseur-simpl-liste (rapport 2026-07-27), confirme par npm audit sur master post-#105.

Findings

[HIGH] image-size -- installe 1.2.1 via metro > image-size, range vulnerable <=2.0.2
- GHSA-w3rx-r6r6-pgpr -- ICNS parser infinite-loop DoS
- GHSA-5p2g-fcmc-qvqq -- JXL / HEIF parser infinite-loop DoS

Statut : BLOQUE UPSTREAM -- aucun fix publie

Toutes les versions publiees d'image-size sont vulnerables : le range couvre <=2.0.2 et 2.0.2 est la derniere version. Un override est donc inutile (aucune version safe a cibler). npm audit fix propose un downgrade react-native@0.72.17 (majeur, absurde -- on est en 0.81).

Cascade transitive

image-size est la racine de ~9 findings HIGH transitifs (ils tombent tous des qu'image-size est corrige) :
metro, metro-config, metro-transform-worker, @expo/metro, @expo/metro-config, @expo/cli, expo, @react-native/community-cli-plugin, react-native, @logto/rn, react-native-android-widget.

Surface reelle

image-size sert a metro pour mesurer les dimensions des assets images au build (input = les assets du projet, de confiance). Le DoS n'est pas declenchable par un tiers externe -> surface nulle dans le produit livre. Hardening, pas incident.

A faire

Re-evaluer au prochain bump du SDK Expo (qui tirera metro/react-native a jour) OU quand image-size publie >2.0.2 et que metro l'adopte. Suivi via cargo update-equivalent : npm view image-size version + re-scan.

Issue creee par /analyse-vulnerabilite. Findings reveles par la re-resolution du lock (#105) : le scan Defenseur tournait sur un node_modules perime et sous-rapportait (7 au lieu de 16). Confirme par npm audit sur master post-#105. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan). Faux positif : fermer avec commentaire. Cause racine scanner : issue dans agent-defenseurs.

## Detection Detecte par le Defenseur **defenseur-simpl-liste** (rapport 2026-07-27), confirme par `npm audit` sur `master` post-#105. ## Findings - **[HIGH]** `image-size` -- installe `1.2.1` via `metro > image-size`, range vulnerable `<=2.0.2` - [GHSA-w3rx-r6r6-pgpr](https://github.com/advisories/GHSA-w3rx-r6r6-pgpr) -- ICNS parser infinite-loop DoS - [GHSA-5p2g-fcmc-qvqq](https://github.com/advisories/GHSA-5p2g-fcmc-qvqq) -- JXL / HEIF parser infinite-loop DoS ## Statut : BLOQUE UPSTREAM -- aucun fix publie **Toutes** les versions publiees d'image-size sont vulnerables : le range couvre `<=2.0.2` et `2.0.2` est la derniere version. Un override est donc inutile (aucune version safe a cibler). `npm audit fix` propose un downgrade `react-native@0.72.17` (majeur, absurde -- on est en 0.81). ### Cascade transitive image-size est la racine de ~9 findings HIGH transitifs (ils tombent tous des qu'image-size est corrige) : `metro`, `metro-config`, `metro-transform-worker`, `@expo/metro`, `@expo/metro-config`, `@expo/cli`, `expo`, `@react-native/community-cli-plugin`, `react-native`, `@logto/rn`, `react-native-android-widget`. ### Surface reelle `image-size` sert a **metro** pour mesurer les dimensions des assets images **au build** (input = les assets du projet, de confiance). Le DoS n'est pas declenchable par un tiers externe -> surface nulle dans le produit livre. Hardening, pas incident. ## A faire Re-evaluer au prochain bump du SDK Expo (qui tirera `metro`/`react-native` a jour) OU quand `image-size` publie `>2.0.2` et que metro l'adopte. Suivi via `cargo update`-equivalent : `npm view image-size version` + re-scan. --- _Issue creee par `/analyse-vulnerabilite`. Findings reveles par la re-resolution du lock (#105) : le scan Defenseur tournait sur un `node_modules` perime et sous-rapportait (7 au lieu de 16). Confirme par `npm audit` sur `master` post-#105. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan). Faux positif : fermer avec commentaire. Cause racine scanner : issue dans `agent-defenseurs`._

maximus added the

status:blocked

type:security

source:defenseur

labels 2026-08-12 00:36:09 +00:00

maximus referenced this issue from a commit

2026-08-12 00:47:25 +00:00

fix(security): bump undici + js-yaml overrides to patched versions

maximus referenced this issue

2026-08-12 00:47:57 +00:00

fix(security): bump undici + js-yaml overrides to patched versions #109

maximus referenced this issue

2026-08-12 01:40:46 +00:00

fix(security): bump undici + js-yaml overrides to patched versions #109

maximus commented

2026-08-12 18:06:38 +00:00

Author

Owner

Re-verifie (passe "tout corriger")

Toujours bloque upstream. La derniere version publiee d'image-size reste 2.0.2, elle-meme dans le range vulnerable (<=2.0.2) ; aucune 2.0.3 ni 3.x. npm audit fix propose un downgrade expo@53.0.27 (majeur, refuse -- on est en SDK 54).

Reste la seule racine non corrigeable de l'arbre : elle entraine les 12 HIGH transitives restantes (npm audit = 12 apres le fix brace-expansion + @babel/core). A lever au prochain bump du SDK Expo qui tirera metro/react-native -> une image-size patchee. Rien a faire d'ici la.

## Re-verifie (passe "tout corriger") Toujours **bloque upstream**. La derniere version publiee d'`image-size` reste `2.0.2`, elle-meme dans le range vulnerable (`<=2.0.2`) ; aucune `2.0.3` ni `3.x`. `npm audit fix` propose un downgrade `expo@53.0.27` (majeur, refuse -- on est en SDK 54). Reste la seule racine non corrigeable de l'arbre : elle entraine les 12 HIGH transitives restantes (`npm audit` = 12 apres le fix brace-expansion + @babel/core). A lever au prochain bump du SDK Expo qui tirera `metro`/`react-native` -> une `image-size` patchee. Rien a faire d'ici la.

maximus referenced this issue from a commit

2026-08-12 18:06:52 +00:00

fix(security): resolve brace-expansion + @babel/core via version-scoped overrides

maximus referenced this issue

2026-08-12 18:07:12 +00:00

fix(security): resolve brace-expansion + @babel/core via version-scoped overrides #111

maximus referenced this issue

2026-09-04 19:37:10 +00:00

HIGH: @react-native/community-cli-plugin — vulnérabilité image-size (metro) #112

maximus referenced this issue from a commit

2026-09-04 19:57:57 +00:00

fix(security): drop image-size via metro 0.83.8 overrides

maximus referenced this issue from a pull request that will close it,

2026-09-04 19:58:25 +00:00

fix(security): drop image-size via metro 0.83.8 overrides #114

maximus commented

2026-09-04 19:58:48 +00:00

Author

Owner

Débloqué — PR #114

Le suivi demandait de re-évaluer « quand image-size publie >2.0.2 ». Ce n'est toujours pas arrivé, et l'analyse de cette issue reste exacte sur ce point — vérifié à la source (api.github.com/advisories) : les deux advisories donnent first_patched_version = None, et image-size@2.0.2 (2025-04-02) reste la dernière version publiée.

Le déblocage vient de l'autre branche de l'alternative, plus tôt que prévu : metro a retiré la dépendance au lieu d'attendre le correctif upstream, et l'a backporté sur la ligne de maintenance 0.83.x — pas besoin du bump de SDK Expo anticipé ici.

metro@0.83.7  2026-04-29  image-size: ^1.0.2
metro@0.83.8  2026-08-19  image-size: ABSENTE

Publié le 2026-08-19, soit sept jours après le commentaire de re-vérification du 2026-08-12 — d'où le manque au moment du passage « tout corriger ».

Diff de dépendances 0.83.7 → 0.83.8 : une seule suppression, image-size, zéro ajout. Metro a vendoré le calcul de dimensions dans src/lib/imageSize.js (« derived from image-size's format support, reduced »), et le code vendoré ne gère que bmp, gif, jpeg, ktx, png, psd, svg, tiff, webp — aucun parseur ICNS, JXL ni HEIF, exactement les trois visés par GHSA-w3rx-r6r6-pgpr et GHSA-5p2g-fcmc-qvqq. Disparition par construction, pas par renommage.

La « cascade transitive » décrite ici se vérifie : metro@0.83.3 était le seul demandeur d'image-size dans l'arbre, et 9 HIGH → 1 HIGH au retrait.

PR #114 applique l'override (les 14 paquets metro ensemble, car @expo/metro@54.2.0 les épingle en version exacte). Validé : npm test 11/11 et expo export --platform android produit un bundle avec les PNG traités par le parseur vendoré.

La HIGH restante est browserslist, sans lien avec cette issue et préexistante sur master — pas encore suivie.

Label status:blocked → status:review.

## Débloqué — PR #114 Le suivi demandait de re-évaluer « quand `image-size` publie `>2.0.2` ». **Ce n'est toujours pas arrivé**, et l'analyse de cette issue reste exacte sur ce point — vérifié à la source (`api.github.com/advisories`) : les deux advisories donnent `first_patched_version = None`, et `image-size@2.0.2` (2025-04-02) reste la dernière version publiée. Le déblocage vient de l'autre branche de l'alternative, plus tôt que prévu : **metro a retiré la dépendance** au lieu d'attendre le correctif upstream, et l'a backporté sur la ligne de maintenance `0.83.x` — pas besoin du bump de SDK Expo anticipé ici. ``` metro@0.83.7 2026-04-29 image-size: ^1.0.2 metro@0.83.8 2026-08-19 image-size: ABSENTE ``` Publié le **2026-08-19**, soit sept jours après le commentaire de re-vérification du 2026-08-12 — d'où le manque au moment du passage « tout corriger ». Diff de dépendances `0.83.7 → 0.83.8` : une seule suppression, `image-size`, zéro ajout. Metro a vendoré le calcul de dimensions dans `src/lib/imageSize.js` (« derived from image-size's format support, *reduced* »), et le code vendoré ne gère que `bmp, gif, jpeg, ktx, png, psd, svg, tiff, webp` — **aucun parseur ICNS, JXL ni HEIF**, exactement les trois visés par GHSA-w3rx-r6r6-pgpr et GHSA-5p2g-fcmc-qvqq. Disparition par construction, pas par renommage. La « cascade transitive » décrite ici se vérifie : `metro@0.83.3` était le seul demandeur d'`image-size` dans l'arbre, et **9 HIGH → 1 HIGH** au retrait. PR #114 applique l'override (les 14 paquets metro ensemble, car `@expo/metro@54.2.0` les épingle en version exacte). Validé : `npm test` 11/11 et `expo export --platform android` produit un bundle avec les PNG traités par le parseur vendoré. La HIGH restante est `browserslist`, sans lien avec cette issue et préexistante sur master — pas encore suivie. Label `status:blocked` → `status:review`.

maximus added

status:review

and removed

status:blocked

labels 2026-09-04 19:58:48 +00:00

maximus referenced this issue

2026-09-04 20:09:27 +00:00

fix(security): drop image-size via metro 0.83.8 overrides #114

maximus added

status:approved

and removed

status:review