[security] deps: vulnerability in postcss-selector-parser (low) #129

New issue

Closed

opened 2026-10-05 23:21:41 +00:00 by maximus · 0 comments

maximus commented

2026-10-05 23:21:41 +00:00

Owner

Detection

Detecte par le Defenseur defenseur-simpl-liste le 2026-10-05T05:15:12Z (35 findings, 5 advisories). Confirme par npm audit sur master (84048e9) apres npm ci : 33 cles (29 high, 3 moderate, 1 low).

Findings

[LOW] defenseur-simpl-liste-deps-npm-audit-simpl-liste-postcss-selector-parser — GHSA-w9m9-85wc-3x92, DoS par recursion non bornee de l'AST, bornes >=6.1.0 <6.1.3 et >=7.1.0 <7.1.3

Analyse

Corrigee dans le majeur courant : 6.1.3 (tete du majeur 6 : 6.1.4). fixAvailable: true.
Chemin : tailwindcss@3.4.17 -> postcss-selector-parser@6.1.2 et tailwindcss -> postcss-nested@6.2.0 -> postcss-selector-parser (deduped). C'est le pipeline NativeWind.
Surface : build seulement, les selecteurs parses sont ceux du projet. Hardening.

Resolution suggeree

Override version-scoped (ne pas toucher un eventuel 7.x futur) :

"overrides": { "postcss-selector-parser@^6.0.0": "^6.1.3" }

La dependance bumpee est le pipeline de styles : prouver par le livrable, pas par la compilation — hash du bundle Hermes de npx expo export --platform android identique avant/apres.

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Detecte par le Defenseur **defenseur-simpl-liste** le 2026-10-05T05:15:12Z (35 findings, 5 advisories). Confirme par `npm audit` sur master (`84048e9`) apres `npm ci` : 33 cles (29 high, 3 moderate, 1 low). ## Findings - [LOW] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-postcss-selector-parser` — GHSA-w9m9-85wc-3x92, DoS par recursion non bornee de l'AST, bornes `>=6.1.0 <6.1.3` et `>=7.1.0 <7.1.3` ## Analyse - Corrigee dans le majeur courant : `6.1.3` (tete du majeur 6 : `6.1.4`). `fixAvailable: true`. - Chemin : `tailwindcss@3.4.17 -> postcss-selector-parser@6.1.2` et `tailwindcss -> postcss-nested@6.2.0 -> postcss-selector-parser` (deduped). C'est le pipeline NativeWind. - **Surface** : build seulement, les selecteurs parses sont ceux du projet. Hardening. ## Resolution suggeree Override version-scoped (ne pas toucher un eventuel 7.x futur) : ```jsonc "overrides": { "postcss-selector-parser@^6.0.0": "^6.1.3" } ``` La dependance bumpee **est** le pipeline de styles : prouver par le livrable, pas par la compilation — hash du bundle Hermes de `npx expo export --platform android` identique avant/apres. --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._