fix: update vulnerable dependencies (picomatch, node-forge, tar, undici, brace-expansion, yaml) #26

New issue

Closed

opened 2026-03-30 00:44:25 +00:00 by maximus · 0 comments

maximus commented

2026-03-30 00:44:25 +00:00

Owner

Vulnerabilités détectées par defenseur-simpl

Scan de sécurité ayant identifié 6 vulnérabilités (4 HIGH, 2 moderate). Toutes sont des dépendances transitives.

Package	Sévérité	Version actuelle	Fix	Parent direct
picomatch (x3)	HIGH	2.3.1 / 3.0.1 / 4.0.3	2.3.2 / 3.0.2 / 4.0.4	tailwindcss, expo
node-forge	HIGH	1.3.3	1.4.0	expo → @expo/cli
tar	HIGH	7.5.10	7.5.13	expo → @expo/cli
undici	HIGH	6.23.0	6.24.1	expo → @expo/cli
brace-expansion (x3)	moderate	1.1.12 / 2.0.2 / 5.0.2	1.1.13 / 2.0.3 / 5.0.5	glob, minimatch, expo
yaml (x2)	moderate	1.10.2 / 2.8.2	1.10.3 / 2.8.3	@expo/ngrok

Fusionne #26 et #27 — npm audit fix résout tout en une seule commande.

Travail à faire

Exécuter npm audit fix
Vérifier que npm audit ne rapporte plus de vulnérabilités
Vérifier que l'app démarre (npm start)

Fichiers concernés

package-lock.json — seul fichier modifié (mises à jour transitives)

Critères d'acceptation

npm audit rapporte 0 vulnérabilités
npm start démarre sans erreur
Aucun changement dans package.json

Complexité

Simple — npm audit fix, mises à jour patch/minor uniquement

Source: defenseur-simpl security scan

## Vulnerabilités détectées par defenseur-simpl Scan de sécurité ayant identifié 6 vulnérabilités (4 HIGH, 2 moderate). Toutes sont des dépendances transitives. | Package | Sévérité | Version actuelle | Fix | Parent direct | |---------|----------|-----------------|-----|---------------| | **picomatch** (x3) | HIGH | 2.3.1 / 3.0.1 / 4.0.3 | 2.3.2 / 3.0.2 / 4.0.4 | tailwindcss, expo | | **node-forge** | HIGH | 1.3.3 | 1.4.0 | expo → @expo/cli | | **tar** | HIGH | 7.5.10 | 7.5.13 | expo → @expo/cli | | **undici** | HIGH | 6.23.0 | 6.24.1 | expo → @expo/cli | | **brace-expansion** (x3) | moderate | 1.1.12 / 2.0.2 / 5.0.2 | 1.1.13 / 2.0.3 / 5.0.5 | glob, minimatch, expo | | **yaml** (x2) | moderate | 1.10.2 / 2.8.2 | 1.10.3 / 2.8.3 | @expo/ngrok | > Fusionne #26 et #27 — `npm audit fix` résout tout en une seule commande. ## Travail à faire - [ ] Exécuter `npm audit fix` - [ ] Vérifier que `npm audit` ne rapporte plus de vulnérabilités - [ ] Vérifier que l'app démarre (`npm start`) ## Fichiers concernés - `package-lock.json` — seul fichier modifié (mises à jour transitives) ## Critères d'acceptation - [ ] `npm audit` rapporte 0 vulnérabilités - [ ] `npm start` démarre sans erreur - [ ] Aucun changement dans `package.json` ## Complexité Simple — `npm audit fix`, mises à jour patch/minor uniquement --- _Source: defenseur-simpl security scan_

maximus changed title from ~~fix: update vulnerable dependencies (picomatch, node-forge, tar, undici)~~ to fix: update vulnerable dependencies (picomatch, node-forge, tar, undici, brace-expansion, yaml)

2026-03-30 00:58:02 +00:00

maximus referenced this issue

2026-03-30 00:58:05 +00:00

fix: update vulnerable dependencies (brace-expansion, yaml) #27

maximus added the

source:defenseur

status:ready

type:security

labels 2026-03-30 00:58:12 +00:00

maximus added

status:in-progress

and removed