Repository navigation
Security Audit rot: node-forge (hoch) ohne Upstream-Fix #348
Description
Der CI-Check „Security Audit" (npm audit --audit-level=high) ist rot: 5 hohe Findings, alle über node-forge (RSA PKCS#1 v1.5 signature verification, GHSA-86w9-cpqp-85rv) via expo → @expo/cli → @expo/code-signing-certificates.
Stand: node-forge ist in 1.4.0 (aktuell) betroffen, es gibt keine gepatchte Version. npm audit fix --force würde expo@44 installieren (inakzeptabel), ein overrides-Pin hilft nicht. Betrifft nur Build-Tooling (Expo-CLI), nicht die ausgelieferte App. brace-expansion ist in #347 bereits behoben.
Zu tun, sobald möglich:
- Prüfen, ob
node-forgeeine gepatchte Version veröffentlicht, bzw. ob ein Expo-SDK-Update@expo/code-signing-certificatesohnenode-forgeliefert. - Dann
npm auditerneut prüfen und Check wieder grün bekommen.
Bis dahin bleibt der Check rot (bewusste Entscheidung, siehe PR #346/#347).
Activity
S540d commentedon Oct 4, 2026
Update 2026-10-04: Der Audit meldet inzwischen 62 Findings (11 moderate, 51 high), nicht mehr nur die 5 über
node-forge. Betroffen ist die Kette@expo/config/@expo/config-plugins(u. a.@expo/prebuild-config,expo-splash-screen,expo-sharing,@expo/local-build-cache-provider), also weiterhin Build-Tooling. Der rote Check blockiert reguläre Merges nachtesting(z. B. PR #349 Standards-Sync).Cross-Projekt-Übersicht der roten
testing-Pipelines: S540d/project-templates#168.🤖 Generated with Claude Code
ci: Audit-Gate mit befristeter Allowlist (#348) (#351)
S540d commentedon Oct 4, 2026
Umgesetzt in #351: Audit-Gate
scripts/audit-gate.mjs+.audit-allowlist.json(node-forge GHSA-86w9-cpqp-85rv, braces GHSA-vfj7-8cjw-p6xm), befristet bis 2026-12-31. Der Check ist wieder grün; neue hohe Findings und abgelaufene Ausnahmen lassen ihn rot werden. Dieses Issue bleibt als Anker, bis Upstream-Fixes existieren (dann Allowlist-Einträge entfernen).🤖 Generated with Claude Code
fix(deps): zod-Advisory GHSA-mrhx-c7xc-m3w5 (high) adressieren
S540d commentedon Nov 3, 2026
Update: node-forge ist mit 1.4.2 gefixt (PR #374), der node-forge-Eintrag ist aus
.audit-allowlist.jsonentfernt. Weiterhin zugelassen (bis 2026-12-31): zod GHSA-mrhx-c7xc-m3w5 (Build-Tooling) und neu decode-uri-component GHSA-qr28-fpjm-wq7f (App-Bundle via expo-router, Fix erst mit SDK-Major). Issue bleibt offen, bis beide aufgelöst sind.S540d commentedon Nov 7, 2026
Update 2026-11-07: Das Upgrade auf Expo SDK 58 löst beide verbleibenden Einträge auf. Mit SDK 58 sind zod und decode-uri-component gar nicht mehr im Baum, übrig sind nur moderate Findings unter der Gate-Schwelle. SDK 56/57 reichen nicht. Geplant in #391, vor Ablauf der Allowlist am 2026-12-31. Fallback, falls das nicht klappt: Frist bis 2027-03-31 verlängern.
🤖 Generated with Claude Code