chore(deps): resolve open security advisories (esbuild / tauri / rand) - #12
Open
DevRyuki wants to merge 1 commit into
Open
chore(deps): resolve open security advisories (esbuild / tauri / rand)#12DevRyuki wants to merge 1 commit into
DevRyuki wants to merge 1 commit into
Conversation
Fixes the three Dependabot security alerts that had no PR open: - esbuild 0.27.3 -> 0.28.2 (alert #19, low) Arbitrary file read when running the dev server on Windows. PR #10 only widened vite's peer range to `^0.27.0 || ^0.28.0`; the lockfile still pinned 0.27.3. - tauri 2.10.2 -> 2.11.5 (alert #12, medium) Origin confusion allowing remote pages to invoke local-only IPC commands. Requires updating tauri-build to 2.6.3 as well, so this goes through a full `cargo update`. - rand 0.7.3 / 0.8.5 (alert #11, low) Both drop out of the tree entirely with the tauri update — they only came in as build dependencies via tauri-utils -> kuchikiki. Verified: npm run build, npm run lint, cargo check --all-targets all pass. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01WdXV2urCsuq2i4gRaT3W44
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Dependabot のセキュリティアラート 3 件のうち、対応する PR が存在しなかったものをまとめて解消します。
内容
esbuild #19
開発サーバーを Windows で動かした際の任意ファイル読み取り。macOS 開発なら実影響は小さいものの、修正版 0.28.1 以上へ上げます。
なお #10「Bump esbuild and vite」は esbuild を実際には更新していませんでした。あの PR の diff は vite の peer 範囲を
^0.27.0→^0.27.0 || ^0.28.0に広げただけで、lockfile の esbuild は 0.27.3 のまま残っていました。tauri #12
Origin Confusion により、リモートページがローカル専用の IPC コマンドを呼び出せる問題。デスクトップアプリの IPC 境界に関わるため 3 件の中で最も影響が大きいものです。
cargo update -p tauri単独では tauri-build 2.5.5 との整合が取れず 2.10.2 のまま動きませんでした。tauri-build も 2.6.3 へ上げる必要があるため、cargo updateで解決しています。これが Cargo.lock の diff が大きい理由です。rand #11
カスタムロガー使用時の unsound。
tauri-utils→kuchikiki→selectors→phf_codegen経由の build-dependency としてのみ入っていたもので、実行時バイナリには含まれていませんでした。tauri 更新で依存ツリーから完全に消えるため、個別対応は不要です。検証
npm run build— 成功（270 modules transformed）npm run lint— 成功（54 ファイル、指摘なし）cargo check --all-targets— 成功（エラー・警告なし）このリポジトリには CI が無いため、いずれもローカルで実行した結果です。GUI の実動作（
npm run tauri dev）までは確認していないので、tauri のマイナー更新が UI 挙動に影響していないかはマージ前にご確認ください。🤖 Generated with Claude Code
https://claude.ai/code/session_01WdXV2urCsuq2i4gRaT3W44