jkooe
a769479a2a
上一轮把 3 个 high 压掉后，复扫仍余 6 条（2 low / 4 moderate），全部经 @modelcontextprotocol/sdk 传递： - hono <4.13.11（serveStatic 二次解码绕过中间件）→ ^4.13.14； - ip-address <=10.7.3（zone 标识符二次方耗时 DoS）→ ^10.7.5； - fast-uri <3.1.9（scheme 伪造 / host 混淆 / 路径等价）→ ^3.1.9。 与 dependabot #3/#6/#7 同源，覆盖后那三个 PR 无增量，随本提交关闭。 当前 pnpm audit：No known vulnerabilities found。
24 lines
1.0 KiB
YAML
24 lines
1.0 KiB
YAML
packages:
|
||
- 'packages/*'
|
||
- 'apps/*'
|
||
allowBuilds:
|
||
esbuild: true
|
||
|
||
# 依赖漏洞门禁（Quality Gate 的 pnpm audit --audit-level=high）用的显式覆盖。
|
||
#
|
||
# 为什么必须钉：`@modelcontextprotocol/sdk` 的传递依赖落后于安全版本，
|
||
# 审计会稳定报 3 个 high（zod <4.6.6、body-parser <2.4.0），而它们都不由
|
||
# 本仓直接控制 —— 不覆盖就永远是红门禁（等于没有门禁）。
|
||
# 均为同 major 的 patch 级抬升，语义风险低；升级 SDK 时若已自带修复版，可移除。
|
||
#
|
||
# ⚠️ pnpm 12 起 `package.json` 的 `pnpm` 字段不再被读取（设置迁移到本文件），
|
||
# 写在那里会被静默忽略 —— 与「一直红所以等于没有」是同一类失败形态。
|
||
overrides:
|
||
zod: ^4.6.6
|
||
body-parser: ^2.4.0
|
||
# 2026-10-27：MCP SDK 传递链的剩余中低危，一并抬到修复版（同 major）。
|
||
# 对应 dependabot #3/#6/#7，覆盖后那三个 PR 已无增量，随同一提交关停。
|
||
hono: ^4.13.14
|
||
ip-address: ^10.7.5
|
||
fast-uri: ^3.1.9
|