[security] deps: vulnerability in undici (high) #125

New issue

Closed

opened 2026-10-02 18:08:19 +00:00 by maximus · 0 comments

maximus commented

2026-10-02 18:08:19 +00:00

Owner

Detection

Detecte par le Defenseur defenseur-simpl-liste le 2026-10-02T05:15:09Z. Confirme par npm audit sur master (99ecb73) apres npm ci : 12 cles (8 high, 3 moderate, 1 low).

Findings

[HIGH] defenseur-simpl-liste-deps-npm-audit-simpl-liste-undici
Location : simpl-liste/package.json
3 advisories, borne <=6.28.0 :
- 1239934 — DoS via erreur non geree dans la decompression WebSocket permessage-deflate (>=6.25.0 <6.28.1)
- 1240039 — response splitting via le retry interceptor (<6.28.1)
- 1240042 — DoS via sous-protocole WebSocket non demande (>=6.7.0 <6.28.1)

Analyse

Une seule instance : expo -> @expo/cli@54.0.24 -> undici@6.28.0, deja pilotee par l'override scope @expo/cli > undici: ^6.28.0 (#96/#106). fixAvailable: true, la ligne 6.x publie 6.29.0 (dist-tag six).

Surface : client HTTP de la CLI Expo (dev/build), pas le runtime de l'app.

Resolution suggeree

"@expo/cli": { "undici": "^6.28.1" }

Puis npm install (la modif de borne force la re-resolution), npm ls undici, npm audit. Bump mineur dans le majeur : peut partager la PR du fix brace-expansion.

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Detecte par le Defenseur **defenseur-simpl-liste** le 2026-10-02T05:15:09Z. Confirme par `npm audit` sur master (`99ecb73`) apres `npm ci` : 12 cles (8 high, 3 moderate, 1 low). ## Findings - [HIGH] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-undici` Location : simpl-liste/package.json 3 advisories, borne `<=6.28.0` : - 1239934 — DoS via erreur non geree dans la decompression WebSocket permessage-deflate (`>=6.25.0 <6.28.1`) - 1240039 — response splitting via le retry interceptor (`<6.28.1`) - 1240042 — DoS via sous-protocole WebSocket non demande (`>=6.7.0 <6.28.1`) ## Analyse Une seule instance : `expo -> @expo/cli@54.0.24 -> undici@6.28.0`, deja pilotee par l'override scope `@expo/cli > undici: ^6.28.0` (#96/#106). `fixAvailable: true`, la ligne 6.x publie `6.29.0` (dist-tag `six`). Surface : client HTTP de la CLI Expo (dev/build), pas le runtime de l'app. ## Resolution suggeree ```jsonc "@expo/cli": { "undici": "^6.28.1" } ``` Puis `npm install` (la modif de borne force la re-resolution), `npm ls undici`, `npm audit`. Bump mineur dans le majeur : peut partager la PR du fix brace-expansion. --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._