[security] deps: vulnerability in source-map-js (high) #135

New issue

Closed

opened 2026-10-06 22:57:55 +00:00 by maximus · 0 comments

maximus commented

2026-10-06 22:57:55 +00:00

Owner

Detection

Source retenue : npm audit sur master (aa41642) apres npm ci, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur defenseur-simpl-liste n'a pas pu etre recupere (fetch --fresh expire, auth SSH Tailscale en attente).

Aucun antecedent (recherche ouvertes + fermees).

Findings

[HIGH] defenseur-simpl-liste-deps-npm-audit-simpl-liste-source-map-js — GHSA-68fv-2mgg-jv7q, « event-loop denial of service through indexed source-map section offsets », borne >=1.0.0 <1.2.2. Installe : 1.2.1.

Analyse

Chemin : tailwindcss@3.4.17 > postcss@8.5.26 (overridee) > source-map-js@1.2.1.
Corrigee : 1.2.2 (patch). fixAvailable: true.
Surface : pipeline de build NativeWind/postcss, sur les sources du projet seulement. Hardening.

Resolution suggeree

"overrides": { "source-map-js@^1.0.0": "^1.2.2" }

La dependance fait partie du pipeline de styles : prouver par le livrable, pas par la compilation. Comparer le bundle JS de npx expo export --platform android --no-bytecode --clear avant/apres (octet pour octet). Le hash .hbc n'est pas une preuve (Hermes non deterministe, cf. #129).

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Source retenue : `npm audit` sur master (`aa41642`) apres `npm ci`, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur **defenseur-simpl-liste** n'a pas pu etre recupere (fetch `--fresh` expire, auth SSH Tailscale en attente). Aucun antecedent (recherche ouvertes + fermees). ## Findings - [HIGH] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-source-map-js` — GHSA-68fv-2mgg-jv7q, « event-loop denial of service through indexed source-map section offsets », borne `>=1.0.0 <1.2.2`. Installe : `1.2.1`. ## Analyse - Chemin : `tailwindcss@3.4.17 > postcss@8.5.26 (overridee) > source-map-js@1.2.1`. - Corrigee : `1.2.2` (patch). `fixAvailable: true`. - **Surface** : pipeline de build NativeWind/postcss, sur les sources du projet seulement. Hardening. ## Resolution suggeree ```jsonc "overrides": { "source-map-js@^1.0.0": "^1.2.2" } ``` La dependance fait partie du pipeline de styles : prouver par le livrable, pas par la compilation. Comparer le bundle JS de `npx expo export --platform android --no-bytecode --clear` avant/apres (octet pour octet). Le hash `.hbc` n'est **pas** une preuve (Hermes non deterministe, cf. #129). --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._