[security] deps: vulnerability in http-cache-semantics (high) #128

New issue

Closed

opened 2026-10-05 23:21:41 +00:00 by maximus · 0 comments

maximus commented

2026-10-05 23:21:41 +00:00

Owner

Detection

Detecte par le Defenseur defenseur-simpl-liste le 2026-10-05T05:15:12Z (35 findings, 5 advisories). Confirme par npm audit sur master (84048e9) apres npm ci : 33 cles (29 high, 3 moderate, 1 low).

Findings

[HIGH] defenseur-simpl-liste-deps-npm-audit-simpl-liste-http-cache-semantics — GHSA-ch52-4w7c-c8xp (publiee 2026-09-18), « max-stale handling can disclose cross-user cached responses », borne <=4.2.0

Analyse

L'advisory indique first_patched_version = null, mais http-cache-semantics@4.3.0 est publiee et sort de la borne <=4.2.0. fixAvailable: true dans npm audit.
Chemin unique : @expo/ngrok@4.1.3 -> got@11.8.6 -> cacheable-request@7.0.4 -> http-cache-semantics@4.2.0. cacheable-request@7 declare ^4.0.0 : 4.3.0 est dans la borne, meme majeur, CJS (main: index.js).
Surface : @expo/ngrok sert au mode expo start --tunnel (outillage de dev). Rien dans l'APK. Le scenario de l'advisory (cache HTTP partage entre utilisateurs) n'existe pas ici. Severite effective : hardening.

Resolution suggeree

Override de plancher (une seule version dans l'arbre, blanket acceptable) :

"overrides": { "http-cache-semantics": "^4.3.0" }

npm audit doit perdre 1 cle.

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Detecte par le Defenseur **defenseur-simpl-liste** le 2026-10-05T05:15:12Z (35 findings, 5 advisories). Confirme par `npm audit` sur master (`84048e9`) apres `npm ci` : 33 cles (29 high, 3 moderate, 1 low). ## Findings - [HIGH] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-http-cache-semantics` — GHSA-ch52-4w7c-c8xp (publiee 2026-09-18), « max-stale handling can disclose cross-user cached responses », borne `<=4.2.0` ## Analyse - L'advisory indique `first_patched_version = null`, mais `http-cache-semantics@4.3.0` est publiee et sort de la borne `<=4.2.0`. `fixAvailable: true` dans `npm audit`. - Chemin unique : `@expo/ngrok@4.1.3 -> got@11.8.6 -> cacheable-request@7.0.4 -> http-cache-semantics@4.2.0`. `cacheable-request@7` declare `^4.0.0` : 4.3.0 est dans la borne, meme majeur, CJS (`main: index.js`). - **Surface** : `@expo/ngrok` sert au mode `expo start --tunnel` (outillage de dev). Rien dans l'APK. Le scenario de l'advisory (cache HTTP partage entre utilisateurs) n'existe pas ici. Severite effective : hardening. ## Resolution suggeree Override de plancher (une seule version dans l'arbre, blanket acceptable) : ```jsonc "overrides": { "http-cache-semantics": "^4.3.0" } ``` `npm audit` doit perdre 1 cle. --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._