Repository navigation
Security Audit rot: node-forge (hoch) ohne Upstream-Fix #348
Description
Der CI-Check „Security Audit" (npm audit --audit-level=high) ist rot: 5 hohe Findings, alle über node-forge (RSA PKCS#1 v1.5 signature verification, GHSA-86w9-cpqp-85rv) via expo → @expo/cli → @expo/code-signing-certificates.
Stand: node-forge ist in 1.4.0 (aktuell) betroffen, es gibt keine gepatchte Version. npm audit fix --force würde expo@44 installieren (inakzeptabel), ein overrides-Pin hilft nicht. Betrifft nur Build-Tooling (Expo-CLI), nicht die ausgelieferte App. brace-expansion ist in #347 bereits behoben.
Zu tun, sobald möglich:
- Prüfen, ob
node-forgeeine gepatchte Version veröffentlicht, bzw. ob ein Expo-SDK-Update@expo/code-signing-certificatesohnenode-forgeliefert. - Dann
npm auditerneut prüfen und Check wieder grün bekommen.
Bis dahin bleibt der Check rot (bewusste Entscheidung, siehe PR #346/#347).
Activity
S540d commentedon Oct 4, 2026
Update 2026-10-04: Der Audit meldet inzwischen 62 Findings (11 moderate, 51 high), nicht mehr nur die 5 über
node-forge. Betroffen ist die Kette@expo/config/@expo/config-plugins(u. a.@expo/prebuild-config,expo-splash-screen,expo-sharing,@expo/local-build-cache-provider), also weiterhin Build-Tooling. Der rote Check blockiert reguläre Merges nachtesting(z. B. PR #349 Standards-Sync).Cross-Projekt-Übersicht der roten
testing-Pipelines: S540d/project-templates#168.🤖 Generated with Claude Code
ci: Audit-Gate mit befristeter Allowlist (#348) (#351)
S540d commentedon Oct 4, 2026
Umgesetzt in #351: Audit-Gate
scripts/audit-gate.mjs+.audit-allowlist.json(node-forge GHSA-86w9-cpqp-85rv, braces GHSA-vfj7-8cjw-p6xm), befristet bis 2026-12-31. Der Check ist wieder grün; neue hohe Findings und abgelaufene Ausnahmen lassen ihn rot werden. Dieses Issue bleibt als Anker, bis Upstream-Fixes existieren (dann Allowlist-Einträge entfernen).🤖 Generated with Claude Code