Repository navigation
Corriger l'alerte haute GHSA-587h-7wmj-h5pm (vite ≥ 8.3.3) qui bloque la CI de toutes les PR #598
Description
Contexte
Epic : #13
Securite-et-RGPD › Propriétés obligatoires · sans écran
Découverte de CODE du 2026-10-21 (Inbox #4), vue sur la CI de la PR #592 : l'étape « Audit dependencies » (pnpm audit --audit-level=high) échoue sur une alerte haute nouvelle, GHSA-587h-7wmj-h5pm (launch-editor, embarqué par vite 8.3.0 à 8.3.2, corrigé en 8.3.3 ; chemin .>vitest>vite, dépendance de test, rien n'est livré). Même résultat sur main : toute PR ouverte sur main est rouge à sa prochaine CI (constaté le 21/10 sur les PR #592, #594 et #595).
Comportement attendu
viterésolu en 8.3.3 ou plus dans tout le workspace, par la montée devitestou parpnpm.overrides.- À défaut, et seulement sur décision d'Ilan (ou de Paul en son nom), une exception datée dans
auditConfig.ignoreGhsas, avec échéance, comme celle de Réviser l'exception d'audit node-forge et braces (échéance 2026-11-05) #280.
Critères d'acceptation
-
pnpm audit --audit-level=highpasse surmainsans nouvelle exception (ou avec l'exception datée décidée ci-dessus). - Lint, types et tests verts sur la PR.
- Les PR ouvertes repassent l'étape « Audit dependencies » après rebase.
Activity
IlanAMG commentedon Oct 21, 2026
Chef de projet (point du 21/10/2026) : ticket ouvert depuis la découverte de CODE du 21/10 (Inbox #4). Rangé au backlog par la règle de périmètre du 13/10, alors qu'il bloque la CI des PR du jalon en cours : à faire entrer dans v0.4 et le Sprint 1 par Ilan, en échange d'un ticket de taille comparable. Status Prêts, Epic Socle technique.
PaulThiberville commentedon Oct 21, 2026
🔨 Démarrage — plan :
viteest un peer devitest(résolu par pnpm, déclaré nulle part), la montée devitestne change donc pas sa version. Overridevite@>=8.3.0 <8.3.3: ^8.3.3danspnpm-workspace.yaml, commenté comme les autres, sans exceptionignoreGhsas. Vérifs :pnpm audit --audit-level=high, lint, types, tests.