[security] deps: vulnerability in sprintf-js (moderate) -- plancher, suivi #137

New issue

Open

opened 2026-10-06 22:57:55 +00:00 by maximus · 0 comments

maximus commented

2026-10-06 22:57:55 +00:00

Owner

Detection

Source retenue : npm audit sur master (aa41642) apres npm ci, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur defenseur-simpl-liste n'a pas pu etre recupere (fetch --fresh expire, auth SSH Tailscale en attente).

Aucun antecedent (recherche ouvertes + fermees).

Findings

[MODERATE] defenseur-simpl-liste-deps-npm-audit-simpl-liste-sprintf-js — GHSA-hp3w-g68c-fv3c (« denial of service through unbounded precision specifiers »), borne <=1.1.3. Installe : 1.0.3. Entraine 6 cles par inflation transitive (argparse, js-yaml, @istanbuljs/load-nyc-config, babel-plugin-istanbul, ...).

Analyse

Chemin : react-native > babel-jest@29.7.0 > babel-plugin-istanbul@6.1.1 > @istanbuljs/load-nyc-config@1.1.0 > js-yaml@3.15.2 > argparse@1.0.10 > sprintf-js@1.0.3.
Plancher : la tete publiee 1.1.3 est elle-meme dans la borne. argparse@1.0.10 declare ~1.0.2.
Surface : couverture de tests jest/istanbul, dev seulement, jamais embarque. Hardening.

Declencheurs de sortie (surveiller les deux bouts)

npm view sprintf-js version hors borne <=1.1.3.
Le demandeur largue la dependance. Verifie le 2026-10-06 : babel-plugin-istanbul@7 depend toujours de @istanbuljs/load-nyc-config@^1.0.0, dont la derniere version (1.1.0) tire js-yaml@3 -> argparse@1 -> sprintf-js@~1.0.2. Aucune sortie amont visible ; surveiller une load-nyc-config 2.x ou le retrait d'istanbul de la chaine jest de react-native.

Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat accepted (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un faux positif : fermer l'issue avec un commentaire d'analyse. Pour une vraie cause racine cote scanner : ouvrir une issue dans agent-defenseurs.

## Detection Source retenue : `npm audit` sur master (`aa41642`) apres `npm ci`, le 2026-10-06 : 43 cles (30 high, 12 moderate, 1 critical), contre 31 le 2026-10-05 dans STATE.md. Le rapport frais du Defenseur **defenseur-simpl-liste** n'a pas pu etre recupere (fetch `--fresh` expire, auth SSH Tailscale en attente). Aucun antecedent (recherche ouvertes + fermees). ## Findings - [MODERATE] `defenseur-simpl-liste-deps-npm-audit-simpl-liste-sprintf-js` — GHSA-hp3w-g68c-fv3c (« denial of service through unbounded precision specifiers »), borne `<=1.1.3`. Installe : `1.0.3`. Entraine 6 cles par inflation transitive (`argparse`, `js-yaml`, `@istanbuljs/load-nyc-config`, `babel-plugin-istanbul`, ...). ## Analyse - Chemin : `react-native > babel-jest@29.7.0 > babel-plugin-istanbul@6.1.1 > @istanbuljs/load-nyc-config@1.1.0 > js-yaml@3.15.2 > argparse@1.0.10 > sprintf-js@1.0.3`. - **Plancher** : la tete publiee `1.1.3` est elle-meme dans la borne. `argparse@1.0.10` declare `~1.0.2`. - **Surface** : couverture de tests jest/istanbul, dev seulement, jamais embarque. Hardening. ## Declencheurs de sortie (surveiller les deux bouts) 1. `npm view sprintf-js version` hors borne `<=1.1.3`. 2. Le demandeur largue la dependance. Verifie le 2026-10-06 : `babel-plugin-istanbul@7` depend toujours de `@istanbuljs/load-nyc-config@^1.0.0`, dont la derniere version (`1.1.0`) tire `js-yaml@3` -> `argparse@1` -> `sprintf-js@~1.0.2`. Aucune sortie amont visible ; surveiller une `load-nyc-config` 2.x ou le retrait d'istanbul de la chaine jest de react-native. --- _Issue cree par /analyse-vulnerabilite. Le Defenseur ne porte pas encore l'etat `accepted` (rapport regenere a chaque scan, editer le JSON est un no-op). Pour un **faux positif** : fermer l'issue avec un commentaire d'analyse. Pour une **vraie cause racine cote scanner** : ouvrir une issue dans `agent-defenseurs`._