mirror of
https://github.com/Wei-Shaw/sub2api.git
synced 2026-10-14 12:02:27 +08:00
shaw
a5aae5db9a
新披露两条 high 级公告命中锁文件里的 postcss@8.5.6，frontend-security 的 audit exception 检查失败： - GHSA-6g55-p6wh-862q（2026-07-23 披露，修复版 8.5.12） CSS 注释中攻击者可控的 sourceMappingURL 导致任意文件读取与信息泄露 - GHSA-r28c-9q8g-f849（2026-07-24 披露，修复版 8.5.18） Previous Source Map 自动加载存在路径穿越，导致任意 .map 文件泄露 postcss 不只是 devDependency —— 它经 vue → @vue/compiler-sfc 进入生产依赖树， 因此 `pnpm audit --prod` 会命中。用 pnpm.overrides 而非只升直接依赖，可保证 所有引入路径的实例都被抬到修复版（沿用本仓 form-data@<4.0.6 的既有写法）。 锁文件用 pnpm 10 重新解析以匹配现有锁文件的生成工具，避免 pnpm 9 误删 11 处 libc: [glibc|musl] 平台门控字段；lockfileVersion 保持 9.0。 实际解析到 postcss 8.5.23，nanoid 3.3.11→3.3.16 是 postcss 自身依赖的 补丁级跟随，diff 无其他无关变动。 验证：复现 CI 失败步骤（pnpm audit --prod --audit-level=high + tools/check_pnpm_audit_exceptions.py）已通过；CI 所用 pnpm 9 的 --frozen-lockfile 接受该锁文件；vue-tsc --noEmit、pnpm build、vitest 均通过。