[CL-SEC] deps: свежие high-advisories pnpm audit + LF-фикс elliptic supply-chain гейта #1184

Merged

andrei merged 1 commit from feature/claude-audit-highs-20260722 into master 2026-07-22 08:44:16 +00:00

Conversation 0 Commits 1 Files changed 3 +37 -25

andrei commented 2026-07-22 08:42:14 +00:00

Owner

Copy link

Что сделано

• Overrides: fast-xml-parser >=5.10.1 (GHSA-8r6m-32jq-jx6q), fast-uri >=3.1.4, immutable >=4.3.9 (×2 high); lockfile обновлён.
• Root-cause попутного блокера: verify-elliptic-cve-fix.mjs хэширует форк byte-wise, Windows-чекаут (core.autocrlf=true) отдавал CRLF → integrity mismatch на любом коммите, трогающем lockfile. .gitattributes: packages/elliptic-fixed/** text eol=lf (+ re-checkout, guard локально «elliptic CVE patch verified»).

Зачем

4 новых high вышли после вчерашнего PIX-14434 — audit-гейт красит ВСЕ PR репо (первым словил PR #1183).

План тестирования

• pnpm audit --audit-level=high — чисто (1 low + 1 moderate, не гейтят).
• api: tsc --noEmit чисто; смоук aml+p2pEscrow — 211 passed.
• Полный прогон — CI этого PR.

Где могу ошибаться

• Мажорных бампов нет (все overrides — патч-диапазоны внутри уже используемых мажоров); поведенческий риск минимален, полный suite подтвердит CI.

## Что сделано - Overrides: `fast-xml-parser >=5.10.1` (GHSA-8r6m-32jq-jx6q), `fast-uri >=3.1.4`, `immutable >=4.3.9` (×2 high); lockfile обновлён. - Root-cause попутного блокера: `verify-elliptic-cve-fix.mjs` хэширует форк byte-wise, Windows-чекаут (`core.autocrlf=true`) отдавал CRLF → integrity mismatch на любом коммите, трогающем lockfile. `.gitattributes`: `packages/elliptic-fixed/** text eol=lf` (+ re-checkout, guard локально «elliptic CVE patch verified»). ## Зачем 4 новых high вышли после вчерашнего PIX-14434 — audit-гейт красит ВСЕ PR репо (первым словил PR #1183). ## План тестирования - `pnpm audit --audit-level=high` — чисто (1 low + 1 moderate, не гейтят). - api: `tsc --noEmit` чисто; смоук aml+p2pEscrow — 211 passed. - Полный прогон — CI этого PR. ## Где могу ошибаться - Мажорных бампов нет (все overrides — патч-диапазоны внутри уже используемых мажоров); поведенческий риск минимален, полный suite подтвердит CI.

andrei added 1 commit 2026-07-22 08:42:15 +00:00

[CL-SEC] deps: закрыть свежие high-advisories pnpm audit + LF-фикс elliptic supply-chain гейта ... 36e5fc5fbe

4 high (fast-xml-parser GHSA-8r6m-32jq-jx6q >=5.10.1, fast-uri >=3.1.4,
immutable x2 >=4.3.9) вышли после PIX-14434 — audit-гейт красил все PR репо.
Overrides подняты, lockfile обновлён, pnpm audit --audit-level=high чист
(1 low + 1 moderate не гейтят).

Попутный root-cause фикс: verify-elliptic-cve-fix.mjs хэширует форк byte-wise,
а Windows-чекаут (core.autocrlf=true) отдавал CRLF → integrity mismatch на
любом коммите, трогающем lockfile. .gitattributes: packages/elliptic-fixed/**
text eol=lf.

andrei scheduled this pull request to auto merge when all checks succeed 2026-07-22 08:42:15 +00:00

andrei merged commit 6debf6345d into master 2026-07-22 08:44:16 +00:00

andrei deleted branch feature/claude-audit-highs-20260722 2026-07-22 08:44:16 +00:00

andrei referenced this pull request from a commit 2026-07-22 08:44:17 +00:00

Merge pull request '[CL-SEC] deps: свежие high-advisories pnpm audit + LF-фикс elliptic supply-chain гейта' (#1184) from feature/claude-audit-highs-20260722 into master

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels   

ci-failing

  

duplicate

  

needs-rebase

No labels

ci-failing

duplicate

needs-rebase

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

europa-tech-srl/europatech!1184

No description provided.