[security] deps: vulnerability in postcss-selector-parser GHSA-rj75 (moderate) -- plancher, suivi #136

New issue

Open

opened 2026-10-06 22:57:55 +00:00 by maximus · 0 comments

maximus commented

2026-10-06 22:57:55 +00:00

Owner

Detection

Source retenue : npm audit sur master (aa41642) apres npm ci, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur defenseur-simpl-liste n'a pas pu etre recupere (fetch --fresh expire, auth SSH Tailscale en attente).

Antecedent : #129 (fermee le 2026-10-05, GHSA-w9m9-85wc-3x92, low) — plancher version-scoped postcss-selector-parser@^6.0.0 -> ^6.1.3, resolu 6.1.4. Meme paquet, nouvelle advisory, sans correctif dans le majeur 6.

Findings

[MODERATE] defenseur-simpl-liste-deps-npm-audit-simpl-liste-postcss-selector-parser — GHSA-rj75-hqrm-r3gf, « Quadratic complexity in flat selector parsing allows CPU exhaustion », borne <7.1.6. Installe : 6.1.4.

Analyse

Chemin : tailwindcss@3.4.17 > postcss-selector-parser@6.1.4 et tailwindcss > postcss-nested@6.2.0 > postcss-selector-parser (deduped).
Plancher : la tete du majeur 6 (6.1.4) est dans la borne ; seul 7.1.6 corrige. tailwindcss@3.4.19 declare encore ^6.1.2, et NativeWind 4 exige tailwind 3. fixAvailable propose tailwind 4.3.3 (majeur, incompatible NativeWind 4).
Un override vers 7.x franchirait le majeur sous tailwind 3 : risque de casse du pipeline, a ne pas tenter.
Surface : build seulement, selecteurs du projet. Hardening.

Declencheurs de sortie (surveiller les deux)

Backport en 6.x : npm view postcss-selector-parser versions --json | jq '[.[]|select(startswith("6."))][-1]' > 6.1.4 et hors borne.
Migration NativeWind 5 / tailwind 4 (chantier dedie).

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Source retenue : `npm audit` sur master (`aa41642`) apres `npm ci`, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur **defenseur-simpl-liste** n'a pas pu etre recupere (fetch `--fresh` expire, auth SSH Tailscale en attente). Antecedent : #129 (fermee le 2026-10-05, GHSA-w9m9-85wc-3x92, low) — plancher version-scoped `postcss-selector-parser@^6.0.0` -> `^6.1.3`, resolu 6.1.4. Meme paquet, nouvelle advisory, sans correctif dans le majeur 6. ## Findings - [MODERATE] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-postcss-selector-parser` — GHSA-rj75-hqrm-r3gf, « Quadratic complexity in flat selector parsing allows CPU exhaustion », borne `<7.1.6`. Installe : `6.1.4`. ## Analyse - Chemin : `tailwindcss@3.4.17 > postcss-selector-parser@6.1.4` et `tailwindcss > postcss-nested@6.2.0 > postcss-selector-parser` (deduped). - **Plancher** : la tete du majeur 6 (`6.1.4`) est dans la borne ; seul `7.1.6` corrige. `tailwindcss@3.4.19` declare encore `^6.1.2`, et NativeWind 4 exige tailwind 3. `fixAvailable` propose tailwind 4.3.3 (majeur, incompatible NativeWind 4). - Un override vers 7.x franchirait le majeur sous tailwind 3 : risque de casse du pipeline, a ne pas tenter. - **Surface** : build seulement, selecteurs du projet. Hardening. ## Declencheurs de sortie (surveiller les deux) 1. Backport en 6.x : `npm view postcss-selector-parser versions --json | jq '[.[]|select(startswith("6."))][-1]'` > 6.1.4 et hors borne. 2. Migration NativeWind 5 / tailwind 4 (chantier dedie). --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._