{"uuid": "3b3ad757-8ebf-4fa0-b7d9-de66d15805f8", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "GHSA-89xv-2m56-2m9x", "type": "seen", "source": "https://gist.github.com/klemmanton-lgtm/4a24aedae8017b5aebed0300d07c7ee9", "content": "// audit-ci \u2014 Dependency-Gate f\u00fcr pledform\n// =============================================================================\n// Ersetzt den fr\u00fcheren `npm audit --audit-level=high`-Schritt. Zwei Gates mit\n// unterschiedlicher Meinung sind schlimmer als eines: der alte Schritt lief mit\n// `continue-on-error: true` und meldete dauerhaft \u201efail\", ohne je etwas zu\n// verhindern \u2014 CI-Ger\u00e4usch, das man irgendwann nicht mehr liest.\n//\n// Mit der Allowlist unten ist die Baseline sauber, deshalb ist das Gate jetzt\n// BLOCKIEREND (das ist die im Workflow dokumentierte \u201ePhase 2\").\n//\n// ALLOWLIST-DISZIPLIN: Eintr\u00e4ge sind GHSA-genau, nie paketweit. `\"next\"` als\n// Eintrag w\u00fcrde auch jedes ZUK\u00dcNFTIGE next-Advisory verschlucken \u2014 genau das,\n// wogegen das Gate sch\u00fctzen soll.\n//\n// Jeder Eintrag tr\u00e4gt Begr\u00fcndung und Verfallsdatum. Das Datum ist nicht nur\n// Kommentar: `src/lib/utils/audit-allowlist.test.ts` liest diese Datei und\n// schl\u00e4gt fehl, sobald ein Eintrag abgelaufen ist. Eine Allowlist, die\n// niemand mehr \u00fcberpr\u00fcft, ist eine stillgelegte Sicherung.\n{\n  // Schwelle wie beim Vorg\u00e4nger: high und h\u00f6her. Moderate Findings (uuid\n  // GHSA-w5hq-g745-h8pq, diverse next/postcss) sind bewusst nicht erfasst.\n  \"high\": true,\n  \"critical\": true,\n\n  // \u2500\u2500 Allowlist \u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\n  // ALLE sechs Eintr\u00e4ge h\u00e4ngen an DERSELBEN Ursache: dem blockierten Sprung auf\n  // next 16.3.0. Sie fallen gemeinsam weg, sobald er m\u00f6glich ist.\n  //\n  // Gemeinsamer Ausl\u00f6ser f\u00fcr die Wiedervorlage:\n  //   @netlify/plugin-nextjs > 5.15.13  (bis dahin blockt die Netlify-Runtime\n  //   den Sprung; deshalb liegen die Dependabot-PRs #319, #323, #326)\n  // Gemeinsames Verfallsdatum: 2026-11-30\n  \"allowlist\": [\n    // \u2500\u2500 next: vier Treffer, die uns NICHT betreffen \u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\n    // npm kollabiert Stable- und 16.3-Preview-Range zu einem Intervall\n    // (\"9.3.4-canary.0 - 16.3.0-preview.10\"). Das Juli-B\u00fcndel ist in 16.2.11\n    // gepatcht, wir stehen auf 16.2.12. Belegt am 09.08.2026 gegen die\n    // Vercel-Meldung; siehe AGENTS.md, Abschnitt \u201enpm audit / Dependency-Gate\".\n    // Verf\u00e4llt: 2026-11-30\n    \"GHSA-6gpp-xcg3-4w24\", // Middleware/Proxy bypass im App Router\n    \"GHSA-89xv-2m56-2m9x\", // SSRF in Server Actions\n    \"GHSA-m99w-x7hq-7vfj\", // DoS im App Router \u00fcber Server Actions\n    \"GHSA-p9j2-gv94-2wf4\", // SSRF in rewrites\n\n    // \u2500\u2500 postcss: real, aber nur \u00fcber next erreichbar \u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\u2500\n    // Beide Pfade sind `next>postcss` bzw. `@react-email/ui>next>postcss` \u2014\n    // kein direkter Import. postcss l\u00e4uft ausschlie\u00dflich zur BUILD-Zeit \u00fcber\n    // unser eigenes CSS, verarbeitet also keine Angreifer-Eingaben. Ein Fix\n    // kommt mit dem next-Upgrade, ein eigener Override w\u00e4re ein zweiter\n    // Sonderweg neben dem sharp-Override.\n    // Verf\u00e4llt: 2026-11-30\n    \"GHSA-6g55-p6wh-862q\", // Arbitrary file read \u00fcber Source-Map-Aufl\u00f6sung\n    \"GHSA-r28c-9q8g-f849\"  // Path Traversal beim Auto-Loading alter Source Maps\n  ]\n}\n", "creation_timestamp": "2026-08-10T19:39:38.358761Z"}