Fix HIGH: override @xmldom/xmldom pour corriger 4 CVE #74

New issue

Closed

opened 2026-04-24 01:45:29 +00:00 by maximus · 0 comments

maximus commented

2026-04-24 01:45:29 +00:00

Owner

Autopilot 2026-04-24 : traite par PR #77 (pending human review).

Description

Ajouter un override @xmldom/xmldom: ^0.8.13 dans package.json pour corriger 4 CVE dans les chaines de build Expo CLI et iOS (xcode).

Fichiers concernes

package.json — ajouter la cle dans overrides
package-lock.json — regenere par npm install

CVE adressees

GHSA-2v35-w6hq-6mfw (DoS — uncontrolled recursion in XML serialization)
GHSA-f6ww-3ggp-fr8h (XML injection via DocumentType serialization)
GHSA-x6wf-f3px-wcqx (XML injection via processing instruction serialization)
GHSA-j759-j44w-7fr8 (XML injection via comment serialization)

Plan dimplementation

Editer package.json pour ajouter "@xmldom/xmldom": "^0.8.13" dans lobjet overrides existant.
Executer npm install pour regenerer package-lock.json.
Verifier que npm ls @xmldom/xmldom ne liste plus 0.8.12 (doit afficher >=0.8.13).
npx tsc --noEmit doit passer sans erreur.
timeout 10 npm start doit demarrer Metro sans erreur dimport ni crash.
Commit + PR avec label status:review.

Criteres dacceptation

package.json contient "@xmldom/xmldom": "^0.8.13" dans overrides.
npm ls @xmldom/xmldom naffiche que des versions >=0.8.13.
npx tsc --noEmit passe sans erreur.
npm start demarre Metro bundler sans erreur.
npm audit --json | jq .vulnerabilities["@xmldom/xmldom"] retourne null.
package-lock.json est commit dans le meme commit que package.json.

Spec source

spec-plan-vuln-simpl-liste.md — Issue A

> **Autopilot 2026-04-24** : traite par PR #77 (pending human review). --- ## Description Ajouter un override `@xmldom/xmldom: ^0.8.13` dans `package.json` pour corriger 4 CVE dans les chaines de build Expo CLI et iOS (xcode). ## Fichiers concernes - `package.json` — ajouter la cle dans `overrides` - `package-lock.json` — regenere par `npm install` ## CVE adressees - GHSA-2v35-w6hq-6mfw (DoS — uncontrolled recursion in XML serialization) - GHSA-f6ww-3ggp-fr8h (XML injection via DocumentType serialization) - GHSA-x6wf-f3px-wcqx (XML injection via processing instruction serialization) - GHSA-j759-j44w-7fr8 (XML injection via comment serialization) ## Plan dimplementation 1. Editer `package.json` pour ajouter `"@xmldom/xmldom": "^0.8.13"` dans lobjet `overrides` existant. 2. Executer `npm install` pour regenerer `package-lock.json`. 3. Verifier que `npm ls @xmldom/xmldom` ne liste plus 0.8.12 (doit afficher >=0.8.13). 4. `npx tsc --noEmit` doit passer sans erreur. 5. `timeout 10 npm start` doit demarrer Metro sans erreur dimport ni crash. 6. Commit + PR avec label `status:review`. ## Criteres dacceptation - [x] `package.json` contient `"@xmldom/xmldom": "^0.8.13"` dans `overrides`. - [x] `npm ls @xmldom/xmldom` naffiche que des versions `>=0.8.13`. - [x] `npx tsc --noEmit` passe sans erreur. - [x] `npm start` demarre Metro bundler sans erreur. - [x] `npm audit --json | jq .vulnerabilities["@xmldom/xmldom"]` retourne `null`. - [x] `package-lock.json` est commit dans le meme commit que `package.json`. ## Spec source `spec-plan-vuln-simpl-liste.md` — Issue A