[security] deps: vulnerability in brace-expansion (high) #124

New issue

Closed

opened 2026-10-02 18:08:18 +00:00 by maximus · 0 comments

maximus commented

2026-10-02 18:08:18 +00:00

Owner

Detection

Detecte par le Defenseur defenseur-simpl-liste le 2026-10-02T05:15:09Z. Confirme par npm audit sur master (99ecb73) apres npm ci : 12 cles (8 high, 3 moderate, 1 low).

Findings

[HIGH] defenseur-simpl-liste-deps-npm-audit-simpl-liste-brace-expansion
Location : simpl-liste/package.json
9 advisories DoS neuves (expansion quadratique {a},b}, recursion non bornee sur groupes imbriques, recursion dans parseCommaParts), bornes <1.1.21, >=2.0.0 <2.1.7, >=4.0.0 <5.0.12.

Analyse

Les planchers poses par #103 (1.1.18 / 2.1.4 / 5.0.9) sont depasses par de nouvelles advisories. Versions installees : 1.1.18 (minimatch@3), 2.1.4 (minimatch@9), 5.0.9 (minimatch@10). fixAvailable: true, tetes patchees publiees dans chaque majeur : 1.1.21, 2.1.7, 5.0.12.

Surface : outillage de build (glob/minimatch de metro, codegen, @expo/cli), pas le runtime de l'app.

Resolution suggeree

Relever les trois overrides version-scoped existants (ne pas revenir au blanket, qui casse minimatch@3) :

"brace-expansion@^1.0.0": "^1.1.21",
"brace-expansion@^2.0.0": "^2.1.7",
"brace-expansion@^5.0.0": "^5.0.12"

Puis npm install, npm ls brace-expansion sans invalid, test minimatch de tests/smoke.test.cjs, npx expo export --platform android. Bump patch sans risque : peut partager la PR du fix undici.

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Detecte par le Defenseur **defenseur-simpl-liste** le 2026-10-02T05:15:09Z. Confirme par `npm audit` sur master (`99ecb73`) apres `npm ci` : 12 cles (8 high, 3 moderate, 1 low). ## Findings - [HIGH] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-brace-expansion` Location : simpl-liste/package.json 9 advisories DoS neuves (expansion quadratique `{a},b}`, recursion non bornee sur groupes imbriques, recursion dans `parseCommaParts`), bornes `<1.1.21`, `>=2.0.0 <2.1.7`, `>=4.0.0 <5.0.12`. ## Analyse Les planchers poses par #103 (1.1.18 / 2.1.4 / 5.0.9) sont depasses par de nouvelles advisories. Versions installees : 1.1.18 (minimatch@3), 2.1.4 (minimatch@9), 5.0.9 (minimatch@10). `fixAvailable: true`, tetes patchees publiees dans chaque majeur : `1.1.21`, `2.1.7`, `5.0.12`. Surface : outillage de build (glob/minimatch de metro, codegen, @expo/cli), pas le runtime de l'app. ## Resolution suggeree Relever les trois overrides version-scoped existants (ne pas revenir au blanket, qui casse `minimatch@3`) : ```jsonc "brace-expansion@^1.0.0": "^1.1.21", "brace-expansion@^2.0.0": "^2.1.7", "brace-expansion@^5.0.0": "^5.0.12" ``` Puis `npm install`, `npm ls brace-expansion` sans `invalid`, test minimatch de `tests/smoke.test.cjs`, `npx expo export --platform android`. Bump patch sans risque : peut partager la PR du fix undici. --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._