[security] deps: vulnerability in shell-quote (critical) #133

New issue

Closed

opened 2026-10-06 22:57:54 +00:00 by maximus · 0 comments

maximus commented

2026-10-06 22:57:54 +00:00

Owner

Detection

Source retenue : npm audit sur master (aa41642) apres npm ci, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur defenseur-simpl-liste n'a pas pu etre recupere (fetch --fresh expire, auth SSH Tailscale en attente).

Antecedent : #95 (fermee le 2026-07-01, GHSA-w7jw-789q-3m8p, borne <=1.8.3) — a pose l'override "react-devtools-core": { "shell-quote": "^1.8.4" }. Meme chaine, nouvelle advisory.

Findings

[CRITICAL] defenseur-simpl-liste-deps-npm-audit-simpl-liste-shell-quote — GHSA-pqg4-j6r4-53mv, « quote() command injection via a line terminator in a token after a { comment } token », borne >=1.8.4 <1.11.0. Installe : 1.9.0.

Analyse

Chemin unique : react-native@0.81.5 > react-devtools-core@6.1.5 > shell-quote@1.9.0 (deja overridee par #95).
Corrigee dans le majeur courant : 1.11.0 (tete : 1.12.0). fixAvailable: true.
Surface : outillage DevTools/Metro, dev seulement, jamais embarque dans l'APK. Hardening, pas incident.

Resolution suggeree

Relever l'override existant plutot qu'en ajouter un :

"react-devtools-core": { "shell-quote": "^1.11.0", "ws": "^7.5.11" }

Puis npm install, verifier npm ls shell-quote >= 1.11.0 et l'absence de GHSA-pqg4 dans npm audit. npx expo start doit demarrer normalement.

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Source retenue : `npm audit` sur master (`aa41642`) apres `npm ci`, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur **defenseur-simpl-liste** n'a pas pu etre recupere (fetch `--fresh` expire, auth SSH Tailscale en attente). Antecedent : #95 (fermee le 2026-07-01, GHSA-w7jw-789q-3m8p, borne `<=1.8.3`) — a pose l'override `"react-devtools-core": { "shell-quote": "^1.8.4" }`. Meme chaine, nouvelle advisory. ## Findings - [CRITICAL] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-shell-quote` — GHSA-pqg4-j6r4-53mv, « `quote()` command injection via a line terminator in a token after a `{ comment }` token », borne `>=1.8.4 <1.11.0`. Installe : `1.9.0`. ## Analyse - Chemin unique : `react-native@0.81.5 > react-devtools-core@6.1.5 > shell-quote@1.9.0` (deja overridee par #95). - Corrigee dans le majeur courant : `1.11.0` (tete : `1.12.0`). `fixAvailable: true`. - **Surface** : outillage DevTools/Metro, dev seulement, jamais embarque dans l'APK. Hardening, pas incident. ## Resolution suggeree Relever l'override existant plutot qu'en ajouter un : ```jsonc "react-devtools-core": { "shell-quote": "^1.11.0", "ws": "^7.5.11" } ``` Puis `npm install`, verifier `npm ls shell-quote` >= 1.11.0 et l'absence de GHSA-pqg4 dans `npm audit`. `npx expo start` doit demarrer normalement. --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._