Vulnérabilité moderate dans esbuild via drizzle-kit #16

New issue

Closed

opened 2026-03-08 14:56:46 +00:00 by medic-bot · 0 comments

medic-bot commented

2026-03-08 14:56:46 +00:00

Collaborator

Rapport défenseur-simpl

npm audit identifie 4 vulnérabilités moderate, toutes liées à la même chaîne :

drizzle-kit@0.31.9
  → @esbuild-kit/esm-loader@2.6.5
    → @esbuild-kit/core-utils@3.3.2
      → esbuild@0.18.20 (vulnérable ≤0.24.2)

Vulnérabilité : GHSA-67mh-4wv8-2f99 — le dev server esbuild permet à un site web d'envoyer des requêtes et lire les réponses.

Analyse

Risque réel : faible — drizzle-kit est une devDependency (outil de migration DB), pas inclus dans le build APK
La vulnérabilité concerne uniquement le dev server esbuild, pas le bundling
drizzle-kit utilise déjà esbuild@0.25.12 pour son module principal, mais le sous-module legacy @esbuild-kit traîne l'ancienne version
npm audit fix --force downgrade drizzle-kit à 0.18.1 — à ne pas faire (breaking change majeur)

Recommandation

Vérifier périodiquement si une nouvelle version de drizzle-kit (>0.31.9) drop la dépendance @esbuild-kit. Sinon, risque acceptable à ignorer.

## Rapport défenseur-simpl `npm audit` identifie 4 vulnérabilités moderate, toutes liées à la même chaîne : ``` drizzle-kit@0.31.9 → @esbuild-kit/esm-loader@2.6.5 → @esbuild-kit/core-utils@3.3.2 → esbuild@0.18.20 (vulnérable ≤0.24.2) ``` Vulnérabilité : [GHSA-67mh-4wv8-2f99](https://github.com/advisories/GHSA-67mh-4wv8-2f99) — le dev server esbuild permet à un site web d'envoyer des requêtes et lire les réponses. ## Analyse - **Risque réel : faible** — `drizzle-kit` est une devDependency (outil de migration DB), pas inclus dans le build APK - La vulnérabilité concerne uniquement le dev server esbuild, pas le bundling - `drizzle-kit` utilise déjà `esbuild@0.25.12` pour son module principal, mais le sous-module legacy `@esbuild-kit` traîne l'ancienne version - `npm audit fix --force` downgrade drizzle-kit à 0.18.1 — **à ne pas faire** (breaking change majeur) ## Recommandation Vérifier périodiquement si une nouvelle version de `drizzle-kit` (>0.31.9) drop la dépendance `@esbuild-kit`. Sinon, risque acceptable à ignorer.