HIGH: @react-native/community-cli-plugin — vulnérabilité image-size (metro) #112

New issue

Closed

opened 2026-08-16 06:05:16 +00:00 by defenseur-auto-bot · 1 comment

defenseur-auto-bot commented

2026-08-16 06:05:16 +00:00

Vuln HIGH détectée dans @react-native/community-cli-plugin via la chaîne transitive metro → image-size (DoS infinite loop).
Impact prod : nul (@react-native/community-cli-plugin est tooling CLI, non embarqué dans l'APK).
Action : npm audit fix appliqué, lock file mis à jour. Vulnérabilités image-size résolvables sans breaking change.
Source: defenseur-auto 2026-08-16.

Vuln HIGH détectée dans `@react-native/community-cli-plugin` via la chaîne transitive `metro` → `image-size` (DoS infinite loop). Impact prod : nul (`@react-native/community-cli-plugin` est tooling CLI, non embarqué dans l'APK). Action : `npm audit fix` appliqué, lock file mis à jour. Vulnérabilités `image-size` résolvables sans breaking change. Source: defenseur-auto 2026-08-16.

defenseur-auto-bot referenced this issue from a pull request that will close it,

2026-08-16 06:05:16 +00:00

fix(deps): audit fix @react-native/community-cli-plugin HIGH #113

maximus commented

2026-09-04 19:37:10 +00:00

Owner

Doublon de #108 — même chaîne metro → image-size (GHSA-w3rx-r6r6-pgpr / GHSA-5p2g-fcmc-qvqq).

L'analyse de cette issue est erronée sur deux points :

« Vulnérabilités image-size résolvables sans breaking change » — faux. Toutes les versions publiées sont dans le range vulnérable (<=2.0.2, et 2.0.2 du 2025-04-02 reste la dernière publiée à ce jour). Aucun override n'a de cible saine. Voir l'analyse complète dans #108.
La PR #113 rattachée (Closes #112) ne touche pas image-size : son diff est un rafraîchissement de package-lock.json (+633/−584) sur des transitives non liées (@0no-co/graphql.web, brace-expansion…), zéro occurrence d'image-size. Elle ne corrige pas ce qu'elle annonce.

Point commun correct entre les deux issues : impact produit nul (image-size sert à metro pour mesurer les assets au build, entrées de confiance, hors APK).

Suivi centralisé dans #108. Fermée comme doublon.

Doublon de #108 — même chaîne `metro → image-size` (GHSA-w3rx-r6r6-pgpr / GHSA-5p2g-fcmc-qvqq). L'analyse de cette issue est erronée sur deux points : 1. « Vulnérabilités `image-size` résolvables sans breaking change » — faux. Toutes les versions publiées sont dans le range vulnérable (`<=2.0.2`, et `2.0.2` du 2025-04-02 reste la dernière publiée à ce jour). Aucun override n'a de cible saine. Voir l'analyse complète dans #108. 2. La PR #113 rattachée (`Closes #112`) ne touche **pas** `image-size` : son diff est un rafraîchissement de `package-lock.json` (+633/−584) sur des transitives non liées (`@0no-co/graphql.web`, `brace-expansion`…), zéro occurrence d'`image-size`. Elle ne corrige pas ce qu'elle annonce. Point commun correct entre les deux issues : impact produit nul (`image-size` sert à metro pour mesurer les assets **au build**, entrées de confiance, hors APK). Suivi centralisé dans #108. Fermée comme doublon.