maximus/simpl-liste

Fork 0

Verification: defenseur 0 finding + build EAS preview + docs securite #76

New issue

Closed

opened 2026-04-24 01:46:42 +00:00 by maximus · 1 comment

maximus commented

2026-04-24 01:46:42 +00:00

Owner

Fermer la milestone en validant que les overrides de #74 et #75 ont nettoye le rapport defenseur sans casser la chaine de build. Creer STATE.md et SECURITY.md a la racine pour tracer la remediation.

Depends on

#74 (override xmldom) MERGE requis
#75 (override uuid) MERGE requis

Fichiers concernes

STATE.md (nouveau fichier a la racine)
SECURITY.md (nouveau fichier a la racine)
AUCUN changement a package.json ni package-lock.json

Plan d'implementation

Etape 1 — Verifier defenseur

cd ~/claude-code/defenseurs && npx tsx src/defenseur.ts defenseur-simpl-liste

Attendu : Findings: 0 total dans === Summary ===, ou zero HIGH et zero MEDIUM (laisser passer d'eventuels LOW).
Si HIGH ou MEDIUM persistent → arreter, diagnostiquer, NE PAS poursuivre vers le build EAS.

Etape 2 — Build EAS preview Android

cd ~/claude-code/simpl-liste
npx --yes eas-cli build --platform android --profile preview --non-interactive

Attendu : status finished, artefact APK disponible (~12min).

Si build fail : retry 1x avec la meme commande. Si deuxieme echec :

NE PAS merger cette PR.
Ajouter label autopilot:pending-human a l'issue.
Joindre les logs d'erreur EAS dans un commentaire de l'issue.
Continuer les autres issues de la milestone si applicable. Signaler dans DAILY-REPORT.md.

Etape 3 — Creer STATE.md

git checkout -b fix/vuln-C-verification master

Creer STATE.md a la racine avec exactement ce contenu :

# STATE — simpl-liste

## Position actuelle
Version 1.6.1 (versionCode 13). Vulnerabilites npm audit resolues via overrides
`@xmldom/xmldom@^0.8.13` et `uuid@^11.0.0` (overnight 2026-04-24).

## Decisions recentes
- 2026-04-24 : override xmldom + uuid (5 CVE corrigees) — voir SECURITY.md

## Blockers actifs
Aucun.

Etape 4 — Creer SECURITY.md

Creer SECURITY.md a la racine avec exactement ce contenu :

# SECURITY — simpl-liste

Rapport d'etat securite. Scanne quotidiennement par `defenseur-simpl-liste` (cron 04:15 UTC sur VPS).

## CVE resolues

### 2026-04-24 — Overrides @xmldom/xmldom et uuid

Correction de 5 CVE dans la chaine de deps build-time via `overrides` dans
`package.json`. Aucune n'etait exploitable a runtime dans l'APK Android
(chaine iOS build + Expo CLI + ngrok uniquement).

| CVE | Severite | Package | Fix version |
|---|---|---|---|
| GHSA-2v35-w6hq-6mfw | HIGH | @xmldom/xmldom | ^0.8.13 |
| GHSA-f6ww-3ggp-fr8h | HIGH | @xmldom/xmldom | ^0.8.13 |
| GHSA-x6wf-f3px-wcqx | HIGH | @xmldom/xmldom | ^0.8.13 |
| GHSA-j759-j44w-7fr8 | HIGH | @xmldom/xmldom | ^0.8.13 |
| GHSA-w5hq-g745-h8pq | MEDIUM | uuid | ^11.0.0 |

## Procedure de scan manuel

```bash
cd ~/claude-code/defenseurs && npx tsx src/defenseur.ts defenseur-simpl-liste

Rapport ecrit dans ~/claude-code/defenseurs/reports/defenseur-simpl-liste_<timestamp>.json.


### Etape 5 — Commit et PR
```bash
git add STATE.md SECURITY.md
git commit -m "docs(security): add STATE.md and SECURITY.md after vuln fixes (#74 #75)"
git push

Ouvrir PR avec body : resume du rapport defenseur post-fix (ex. Findings: 0 total) + resume du build EAS (status + URL de l'APK).

Criteres d'acceptation

Rapport defenseur post-merge #74 et #75 : 0 HIGH, 0 MEDIUM (LOW tolere, sinon justifier).
Build EAS preview Android : status finished (ou pending-human documente si deux fails).
STATE.md existe a la racine avec les 3 sections (Position / Decisions / Blockers).
SECURITY.md existe a la racine avec table CVE + procedure de scan.
PR mergee et milestone overnight-2026-04-24-vuln-simpl-liste cloturee.
DAILY-REPORT.md resume : nombre de CVE corrigees, statut build EAS, liens vers les PRs.

Review caveats

LOW : les overrides peuvent devenir obsolete lors d'un futur upgrade Expo SDK → revoir a chaque bump majeur.
LOW : uuid@^11 force sur toute la chaine ; aucun import direct dans le projet (verifie 2026-04-23).

Decisions prises ce soir

Build EAS preview et pas production : smoke test suffisant, pas de distribution.
Retry 1x sur build fail, sinon autopilot:pending-human (pas de rollback auto — Max inspecte au reveil).
STATE.md + SECURITY.md crees ici (pas dans A ou B) pour documenter la remediation complete d'un coup.
Pas de bump version ni versionCode : le build EAS preview ne sera pas distribue.

Spec source

spec-plan-vuln-simpl-liste.md

Fermer la milestone en validant que les overrides de #74 et #75 ont nettoye le rapport defenseur sans casser la chaine de build. Creer `STATE.md` et `SECURITY.md` a la racine pour tracer la remediation. ## Depends on - #74 (override xmldom) MERGE requis - #75 (override uuid) MERGE requis ## Fichiers concernes - `STATE.md` (nouveau fichier a la racine) - `SECURITY.md` (nouveau fichier a la racine) - AUCUN changement a `package.json` ni `package-lock.json` ## Plan d'implementation ### Etape 1 — Verifier defenseur ```bash cd ~/claude-code/defenseurs && npx tsx src/defenseur.ts defenseur-simpl-liste ``` Attendu : `Findings: 0 total` dans `=== Summary ===`, ou zero HIGH et zero MEDIUM (laisser passer d'eventuels LOW). Si HIGH ou MEDIUM persistent → arreter, diagnostiquer, NE PAS poursuivre vers le build EAS. ### Etape 2 — Build EAS preview Android ```bash cd ~/claude-code/simpl-liste npx --yes eas-cli build --platform android --profile preview --non-interactive ``` Attendu : status `finished`, artefact APK disponible (~12min). **Si build fail** : retry 1x avec la meme commande. Si deuxieme echec : - NE PAS merger cette PR. - Ajouter label `autopilot:pending-human` a l'issue. - Joindre les logs d'erreur EAS dans un commentaire de l'issue. - Continuer les autres issues de la milestone si applicable. Signaler dans DAILY-REPORT.md. ### Etape 3 — Creer STATE.md ```bash git checkout -b fix/vuln-C-verification master ``` Creer `STATE.md` a la racine avec exactement ce contenu : ```markdown # STATE — simpl-liste ## Position actuelle Version 1.6.1 (versionCode 13). Vulnerabilites npm audit resolues via overrides `@xmldom/xmldom@^0.8.13` et `uuid@^11.0.0` (overnight 2026-04-24). ## Decisions recentes - 2026-04-24 : override xmldom + uuid (5 CVE corrigees) — voir SECURITY.md ## Blockers actifs Aucun. ``` ### Etape 4 — Creer SECURITY.md Creer `SECURITY.md` a la racine avec exactement ce contenu : ```markdown # SECURITY — simpl-liste Rapport d'etat securite. Scanne quotidiennement par `defenseur-simpl-liste` (cron 04:15 UTC sur VPS). ## CVE resolues ### 2026-04-24 — Overrides @xmldom/xmldom et uuid Correction de 5 CVE dans la chaine de deps build-time via `overrides` dans `package.json`. Aucune n'etait exploitable a runtime dans l'APK Android (chaine iOS build + Expo CLI + ngrok uniquement). | CVE | Severite | Package | Fix version | |---|---|---|---| | GHSA-2v35-w6hq-6mfw | HIGH | @xmldom/xmldom | ^0.8.13 | | GHSA-f6ww-3ggp-fr8h | HIGH | @xmldom/xmldom | ^0.8.13 | | GHSA-x6wf-f3px-wcqx | HIGH | @xmldom/xmldom | ^0.8.13 | | GHSA-j759-j44w-7fr8 | HIGH | @xmldom/xmldom | ^0.8.13 | | GHSA-w5hq-g745-h8pq | MEDIUM | uuid | ^11.0.0 | ## Procedure de scan manuel ```bash cd ~/claude-code/defenseurs && npx tsx src/defenseur.ts defenseur-simpl-liste ``` Rapport ecrit dans `~/claude-code/defenseurs/reports/defenseur-simpl-liste_<timestamp>.json`. ``` ### Etape 5 — Commit et PR ```bash git add STATE.md SECURITY.md git commit -m "docs(security): add STATE.md and SECURITY.md after vuln fixes (#74 #75)" git push ``` Ouvrir PR avec body : resume du rapport defenseur post-fix (ex. `Findings: 0 total`) + resume du build EAS (status + URL de l'APK). ## Criteres d'acceptation - [ ] Rapport defenseur post-merge #74 et #75 : 0 HIGH, 0 MEDIUM (LOW tolere, sinon justifier). - [ ] Build EAS preview Android : status `finished` (ou pending-human documente si deux fails). - [ ] `STATE.md` existe a la racine avec les 3 sections (Position / Decisions / Blockers). - [ ] `SECURITY.md` existe a la racine avec table CVE + procedure de scan. - [ ] PR mergee et milestone `overnight-2026-04-24-vuln-simpl-liste` cloturee. - [ ] DAILY-REPORT.md resume : nombre de CVE corrigees, statut build EAS, liens vers les PRs. ## Review caveats - LOW : les overrides peuvent devenir obsolete lors d'un futur upgrade Expo SDK → revoir a chaque bump majeur. - LOW : `uuid@^11` force sur toute la chaine ; aucun import direct dans le projet (verifie 2026-04-23). ## Decisions prises ce soir - Build EAS preview et pas production : smoke test suffisant, pas de distribution. - Retry 1x sur build fail, sinon `autopilot:pending-human` (pas de rollback auto — Max inspecte au reveil). - STATE.md + SECURITY.md crees ici (pas dans A ou B) pour documenter la remediation complete d'un coup. - Pas de bump `version` ni `versionCode` : le build EAS preview ne sera pas distribue. ## Spec source `spec-plan-vuln-simpl-liste.md`

maximus added the

source:defenseur

status:ready

type:security

labels 2026-04-24 01:46:47 +00:00

maximus added this to the overnight-2026-04-24-vuln-simpl-liste milestone 2026-04-24 01:46:47 +00:00

maximus referenced this issue

2026-04-24 11:28:49 +00:00

fix(security): override uuid to ^11.0.0 (#75) #78

maximus referenced this issue

2026-04-24 11:28:59 +00:00

Fix MEDIUM: override uuid pour corriger buffer bounds check #75

maximus referenced this issue from a commit

2026-04-24 11:30:44 +00:00

docs(security): seed STATE.md and SECURITY.md after vuln remediation

maximus referenced this issue from a pull request that will close it,

2026-04-24 11:31:19 +00:00

verify(security): seed STATE+SECURITY + defenseur rescan (#76) #79

maximus added the

autopilot:pending-human

status:needs-clarification

labels 2026-04-24 11:31:29 +00:00

maximus commented

2026-04-24 11:31:29 +00:00

Author

Owner

Autopilot 2026-04-24 : traite partiellement par PR #79.

Critere 0 MEDIUM non atteint : 18 advisories residuelles, toutes racinees sur GHSA-w5hq-g745-h8pq (uuid). Voir PR #79 body pour details et options A/B.

Autopilot 2026-04-24 : traite partiellement par PR #79. **Critere `0 MEDIUM` non atteint** : 18 advisories residuelles, toutes racinees sur GHSA-w5hq-g745-h8pq (uuid). Voir PR #79 body pour details et options A/B.

maximus closed this issue

2026-04-24 18:14:35 +00:00

maximus referenced this issue from a commit

2026-04-24 18:14:36 +00:00

Merge pull request 'verify(security): seed STATE+SECURITY + defenseur rescan (#76)' (#79) from fix/vuln-C-verification into master