[security] deps: vulnerability in compression (high) #134

New issue

Closed

opened 2026-10-06 22:57:54 +00:00 by maximus · 0 comments

maximus commented

2026-10-06 22:57:54 +00:00

Owner

Detection

Source retenue : npm audit sur master (aa41642) apres npm ci, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur defenseur-simpl-liste n'a pas pu etre recupere (fetch --fresh expire, auth SSH Tailscale en attente).

Aucun antecedent (recherche ouvertes + fermees).

Findings

[HIGH] defenseur-simpl-liste-deps-npm-audit-simpl-liste-compression — GHSA-vc2v-76pw-4v95, « Denial of Service via memory leak on premature response close », borne <1.8.2. Installe : 1.8.1.

Analyse

Chemin unique : expo@54.0.34 > @expo/cli@54.0.24 > compression@1.8.1.
Corrigee : 1.8.2 (patch, meme majeur). fixAvailable: true.
Surface : middleware du serveur de dev Expo, jamais embarque dans l'APK. Hardening.

Resolution suggeree

Override scope dans le bloc @expo/cli existant (ordre alphabetique) :

"@expo/cli": { "compression": "^1.8.2", "tar": "^7.5.21", "undici": "^6.28.1", "ws": "^8.20.1" }

Verifier npm ls compression, npm audit, compte de paquets inchange, et npx expo start (le serveur de dev est la seule surface).

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Source retenue : `npm audit` sur master (`aa41642`) apres `npm ci`, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur **defenseur-simpl-liste** n'a pas pu etre recupere (fetch `--fresh` expire, auth SSH Tailscale en attente). Aucun antecedent (recherche ouvertes + fermees). ## Findings - [HIGH] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-compression` — GHSA-vc2v-76pw-4v95, « Denial of Service via memory leak on premature response close », borne `<1.8.2`. Installe : `1.8.1`. ## Analyse - Chemin unique : `expo@54.0.34 > @expo/cli@54.0.24 > compression@1.8.1`. - Corrigee : `1.8.2` (patch, meme majeur). `fixAvailable: true`. - **Surface** : middleware du serveur de dev Expo, jamais embarque dans l'APK. Hardening. ## Resolution suggeree Override scope dans le bloc `@expo/cli` existant (ordre alphabetique) : ```jsonc "@expo/cli": { "compression": "^1.8.2", "tar": "^7.5.21", "undici": "^6.28.1", "ws": "^8.20.1" } ``` Verifier `npm ls compression`, `npm audit`, compte de paquets inchange, et `npx expo start` (le serveur de dev est la seule surface). --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._