Repository navigation
chore(deps): plotly.js 2.35 → 4.1.2 (maplibre-gl critical XSS, #883) - #885
Merged
Merged
Conversation
plotly.js 4.1.x ciągnie maplibre-gl 6.11.2, co zamyka krytyczny alert Dependabota #358 (XSS w DOM.sanitize, maplibre-gl <= 6.4.0). Dostosowanie do breaking changes: - v3: `title` jako string oraz `titlefont`/`titleside` nie są już obsługiwane — przepisane na `title: {text, side, font}` w szablonach ewaluacja_metryki/ewaluacja_optymalizacja i w JSON-ie wykresów admin_dashboard (+ test regresji), - v4: modebar domyślnie pokazuje przycisk "Upload to Cloud" (wysyła dane wykresu na cloud.plotly.com) — wyłączony globalnie `showSendToCloud: false`, - v4: oś nakładana domyślnie dostaje `tickmode: 'sync'` — dla yaxis2 w szczegółach metryki zostawiamy dotychczasowe `auto`. Closes #883 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01V5NgRzHfVBb6qGi5agZDvw
…tly.js 4.x (#883) Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01V5NgRzHfVBb6qGi5agZDvw
mpasternak
added a commit
that referenced
this pull request
Oct 24, 2026
) Po #885 'yarn install' w obrazie testowym i w jobie vitest pada na 'The engine "node" is incompatible with this module. Expected version ">=22.0.0". Got "20.20.2"'. Node 20 jest i tak EOL od kwietnia 2026. Claude-Session: https://claude.ai/code/session_01V5NgRzHfVBb6qGi5agZDvw Co-authored-by: Claude Opus 5.5 <noreply@anthropic.com>
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Closes #883. Wydzielone z #731.
Po co
Dependabot #358:
maplibre-gl≤ 6.4.0 ma krytyczny XSS wDOM.sanitize(). Trafiał do nas tylko pośrednio przezplotly.js2.35.3 (maplibre-gl4.7.1). plotly.js 4.1.2 ciągniemaplibre-gl6.11.2, ayarn.lockma teraz tylko tę jedną wersję.Breaking changes plotly.js 3.0 / 4.0, które nas dotyczyły
titlejako string jest ignorowany (wykres bez tytułu), atitlefont/titlesidezostały usuniętetitle: {text, side, font}:ewaluacja_metryki/lista.html,szczegoly.html,ewaluacja_optymalizacja/discipline_comparison.htmloraz JSON wykresówadmin_dashboard/views/{time_series,charakter_stats,base}.pyshowSendToCloud: true), który po potwierdzeniu wysyła dane wykresu na cloud.plotly.comPlotly.setPlotConfig({locale: 'pl', showSendToCloud: false})+PLOT_CONFIGwlazy-charts.jsoverlaying) domyślnie matickmode: 'sync'yaxis2(sloty) w szczegółach metryki zostawiłem dotychczasowetickmode: 'auto'tickangle: 30(„Poniedziałek” nachodził na „Wtorek”)Pozostałe breaking changes nas nie dotyczą: trasy mapbox, MathJax,
transforms, koloryrgb()z ułamkami 0–1 (używamy tylko liczb całkowitych),splom,geo,hoveranywhere.dist/plotly.min.jsidist/plotly-locale-pl.jssą w 4.x pod tymi samymi ścieżkami.Testy
admin_dashboard/tests/test_plotly_layout_format.pyprzechodzi po wszystkich endpointach wykresów i sprawdza, że żadentitlew layoucie nie jest stringiem i że nie ma usuniętych atrybutów. Na starym kodzie pada 10/10, po zmianie przechodzi.pytest src/admin_dashboard src/ewaluacja_metryki src/ewaluacja_optymalizacja/tests src/integration_tests/test_admin_dashboard_lazy_charts.pydaje 247 passed.Uwaga dla recenzenta: na szczegółach metryki etykieta „50” prawej osi „Sloty” jest przycięta przez legendę, a na donutach charakterów formalnych zewnętrzne etykiety wychodzą poza ramkę. Na 2.35.3 wygląda to tak samo, więc nie jest to regresja z tego PR-a.
🤖 Generated with Claude Code
https://claude.ai/code/session_01V5NgRzHfVBb6qGi5agZDvw