maximus/simpl-liste
1
0
Fork 0
Code Issues 4 Pull requests Projects Releases 20 Packages Wiki Activity Actions
simpl-liste/STATE.md
le king fu dfd4004cdc state: sync after #108 and #115 
Version was still recorded as 1.6.4/16 while master is at 1.6.6/18.
Records the security remediation outcome (19 vulns / 9 HIGH -> 10 / 0
HIGH), the override inventory, and the three @expo/metro shims that no
longer resolve under metro 0.83.8 -- inert today, but worth re-checking
at the next Expo SDK bump.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_016Y4GzEsmDryrwtQcmBNw9P
2026-09-04 16:25:04 -04:00

3.4 KiB
Raw Blame History

STATE — simpl-liste

Derniere MAJ : 2026-09-04 (remediation securite #108 + #115)

Position actuelle

Version 1.6.6 (versionCode 18). Zero finding high ou critical dans l'arbre apres #114 (merged) et PR #116 (ouverte) : npm audit passe de 19 vulnerabilites / 9 HIGH a 10 / 0 HIGH. Restent 9 moderate et 1 low, inchangees.

La remediation passe par des overrides de plancher dans package.json : esbuild, @xmldom/xmldom, uuid, postcss, js-yaml, brace-expansion, @babel/core, browserslist@^4.28.7, et les 14 paquets metro@^0.83.8.

Caveat sur l'override metro (releve par la review de PR #114) : 0.83.3 -> 0.83.8 n'est pas un bump de patch pur cote API privee. Trois shims de @expo/metro@54.2.0, ecrit contre 0.83.3, ne resolvent plus — metro-resolver/utils/toPosixPath et metro/node-haste/Package supprimes, metro-file-map/lib/dependencyExtractor deplace. Ils leveraient MODULE_NOT_FOUND, mais aucun paquet de l'arbre ne les requiert (203 des 206 imports profonds metro*/private/... resolvent). Inerte aujourd'hui ; a re-verifier au prochain bump du SDK Expo ou de @expo/metro.

Companion web liste.lacompagniemaximus.com : deploye manuellement (docker-compose standalone /data/simpl-liste-web sur le VPS, build depuis source/ rsync — PAS une app Coolify malgre la spec). Procedure en memoire simpl-liste-web-deploy.

Decisions recentes

  • 2026-09-04 : #115 ouverte + PR #116 — browserslist@^4.28.7 (2 advisories HIGH publiees le 2026-09-01, first_patched_version = 4.28.7). Resout en 4.28.9, derniere HIGH de l'arbre. Bundle Hermes au hash identique avant/apres : cibles de compilation inchangees.
  • 2026-09-04 : #112 fermee doublon de #108 ; PR #113 fermee sans merge (son diff ne contenait aucune occurrence d'image-size — 633/584 de churn de lockfile sans rapport).
  • 2026-09-04 : #108 fermee (PR #114 merged) — image-size retiree de l'arbre via overrides metro@^0.83.8. Le blocage upstream tient toujours (first_patched_version = None, 2.0.2 reste la derniere publiee) ; c'est metro qui a supprime la dependance et vendore un parseur reduit sans les formats ICNS/JXL/HEIF vises. Backport sur la ligne 0.83.x le 2026-08-19 — pas besoin du bump de SDK Expo anticipe. 9 HIGH -> 1 HIGH.
  • 2026-07-27 : #68 merged (PR #101) — Feedback Hub integre (bouton Reglages > A propos, POST feedback.lacompagniemaximus.com app_id simpl-liste, opt-in contexte + identite Loi 25 ; client sans dependance teste via node:test).
  • 2026-05-30 : #90 merged (PR #93, ThemeToggle eslint-disable) + premier deploy web depuis 7 sem (rsync source/ + docker compose --build sur VPS) — #70 et #90 live sur liste.lacompagniemaximus.com.
  • 2026-05-30 : PR #89 merged — display name web resolu via userInfo (ordre fallback de la vitrine), fix #70.
  • 2026-05-30 : nettoyage lint web/ (PR #91, 2 prefer-const + import inutilise) ; #90 analyse (ThemeToggle set-state-in-effect, decision : eslint-disable documente).
  • 2026-05-10 : Aligne 6 patches Expo SDK 54 via expo install --fix — expo-doctor 17/17 (ref #87)
  • 2026-05-08 : Defenseur rerun confirme 0 findings — overrides existants suffisent, pas de PR necessaire (ref #81)
  • 2026-04-24 : overrides xmldom + uuid (spec spec-decisions-vuln-simpl-liste.md) — PRs #77, #78, #79 (pending-human).

Blockers actifs

Aucun.

PR #116 (#115, browserslist) est en attente de review — c'est le seul travail en vol.