@CryogenicPlanetchecks…pi/exclude-cli-ts-release-42161920 → next4 files · +111 −3review: @jkomynoupdated 1w agots.release.yml on publish: pnpm changeset:release, but make the repository-controlled changeset:release script block @composio/cli from the Changesets GitHub Release path.ts/scripts/changeset-release.sh, which runs the normal build + pnpm changeset publish, preserves non-CLI tag output, and filters New tag: @composio/cli@... before changesets/action can push it/create an empty release..changeset/config.json and build-cli-binaries.yml unchanged; the CLI binary workflow remains the only owner of CLI GitHub Releases.pnpm changeset publish to ensure CLI tags are hidden while non-CLI tags/stderr are preserved.pnpm run test:release-workflowpnpm run test:install-shbash -n ts/scripts/changeset-release.sh.github/workflows/ts.release.ymlpackage.jsongit diff --checkThe latest updates on your projects. Learn more about Vercel for GitHub.
| Project | Deployment | Actions | Updated (UTC) |
|---|---|---|---|
| docs |  Ready | Preview, Comment | Jun 4, 2026 12:27pm |
⚠️ Security Audit Warning
The pnpm audit --prod check found security vulnerabilities in production dependencies.
Please review and fix the vulnerabilities. You can try running:
pnpm audit --fix --prod
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ critical │ Arbitrary code execution in protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-xq3m-2v4x-88gg │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has a ReDoS via repeated wildcards with │
│ │ non-matching literal in pattern │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.1.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.1.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>openapi-typescript>@redocly/openapi- │
│ │ core>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3ppc-4f35-3m26 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has a ReDoS via repeated wildcards with │
│ │ non-matching literal in pattern │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=9.0.0 <9.0.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=9.0.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3ppc-4f35-3m26 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has ReDoS: matchOne() combinatorial │
│ │ backtracking via multiple non-adjacent GLOBSTAR │
│ │ segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>openapi-typescript>@redocly/openapi- │
│ │ core>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-7r86-cg39-jmmj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has ReDoS: matchOne() combinatorial │
│ │ backtracking via multiple non-adjacent GLOBSTAR │
│ │ segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=9.0.0 <9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-7r86-cg39-jmmj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has ReDoS: matchOne() combinatorial │
│ │ backtracking via multiple non-adjacent GLOBSTAR │
│ │ segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=10.0.0 <10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-7r86-cg39-jmmj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch ReDoS: nested *() extglobs generate │
│ │ catastrophically backtracking regular expressions │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>openapi-typescript>@redocly/openapi- │
│ │ core>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-23c5-xmqv-rm74 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch ReDoS: nested *() extglobs generate │
│ │ catastrophically backtracking regular expressions │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=9.0.0 <9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-23c5-xmqv-rm74 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch ReDoS: nested *() extglobs generate │
│ │ catastrophically backtracking regular expressions │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=10.0.0 <10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-23c5-xmqv-rm74 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Hono vulnerable to arbitrary file access via │
│ │ serveStatic vulnerability │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q5qw-h33p-qvwr │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ @hono/node-server has authorization bypass for │
│ │ protected static paths via encoded slashes in Serve │
│ │ Static Middleware │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @hono/node-server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <1.19.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=1.19.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>@hono/node- │
│ │ server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-wc8c-qw6v-h7f6 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ express-rate-limit: IPv4-mapped IPv6 addresses bypass │
│ │ per-client rate limiting on servers with dual-stack │
│ │ network │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ express-rate-limit │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=8.2.0 <8.2.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=8.2.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>express- │
│ │ rate-limit │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-46wh-pxpv-q5gq │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Effect `AsyncLocalStorage` context lost/contaminated │
│ │ inside Effect fibers under concurrent load with RPC │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ effect │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <3.20.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=3.20.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>effect │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-38f7-945m-qr2g │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Picomatch has a ReDoS vulnerability via extglob │
│ │ quantifiers │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>ts-morph>@ts-morph/common>fast- │
│ │ glob>micromatch>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-c2c7-rcm5-vvqj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Picomatch has a ReDoS vulnerability via extglob │
│ │ quantifiers │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@effect/platform-node- │
│ │ shared>@parcel/watcher>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-c2c7-rcm5-vvqj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ lodash vulnerable to Code Injection via `_.template` │
│ │ imports key names │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <=4.17.23 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.18.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__llamaindex>llamaindex>lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-r5fr-rjxr-66jc │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ fast-uri vulnerable to path traversal via │
│ │ percent-encoded dot segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=3.1.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=3.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>ajv>fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q3j6-qgpj-74h6 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ fast-uri vulnerable to host confusion via │
│ │ percent-encoded authority delimiters │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=3.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=3.1.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>ajv>fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-v39h-62p7-jpjc │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ protobuf.js: Code injection through bytes field │
│ │ defaults in generated toObject code │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-66ff-xgx4-vchm │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ protobuf.js: Code generation gadget after prototype │
│ │ pollution │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-75px-5xx7-5xc7 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ protobuf.js: Process-wide denial of service through │
│ │ unsafe option paths │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-jvwf-75h9-cwgg │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ protobuf.js: Denial of service through unbounded │
│ │ protobuf recursion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-685m-2w69-288q │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono Vulnerable to Cookie Attribute Injection via │
│ │ Unsanitized domain and path in setCookie() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-5pq2-9x2x-5p6w │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono Vulnerable to SSE Control Field Injection via │
│ │ CR/LF in writeSSE() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-p6xx-57qc-3wxr │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono vulnerable to Prototype Pollution possible │
│ │ through __proto__ key allowed in parseBody({ dot: true │
│ │ }) │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-v8w9-8mx6-g223 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ brace-expansion: Zero-step sequence causes process │
│ │ hang and memory exhaustion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=2.0.0 <2.0.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.0.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch>brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f886-m6hf-6m8v │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ brace-expansion: Zero-step sequence causes process │
│ │ hang and memory exhaustion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <5.0.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.0.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch>brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f886-m6hf-6m8v │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Picomatch: Method Injection in POSIX Character Classes │
│ │ causes incorrect Glob Matching │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>ts-morph>@ts-morph/common>fast- │
│ │ glob>micromatch>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3v7f-55p6-f55p │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Picomatch: Method Injection in POSIX Character Classes │
│ │ causes incorrect Glob Matching │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@effect/platform-node- │
│ │ shared>@parcel/watcher>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3v7f-55p6-f55p │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ yaml is vulnerable to Stack Overflow via deeply nested │
│ │ YAML collections │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ yaml │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=2.0.0 <2.8.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.8.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@effect/cli>yaml │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-48c2-rrv3-qjmp │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ lodash vulnerable to Prototype Pollution via array │
│ │ path bypass in `_.unset` and `_.omit` │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=4.17.23 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.18.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__llamaindex>llamaindex>lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f23m-r3pf-42rh │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono missing validation of cookie name on write path │
│ │ in setCookie() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-26pp-8wgv-hjvm │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Non-breaking space prefix bypass in cookie name │
│ │ handling in getCookie() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-r5rp-j6wh-rvv4 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Path traversal in toSSG() allows writing files │
│ │ outside the output directory │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <=4.12.11 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-xf4j-xp2r-rqqx │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Middleware bypass via repeated slashes in │
│ │ serveStatic │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-wmmm-f939-6g9c │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ @hono/node-server: Middleware bypass via repeated │
│ │ slashes in serveStatic │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @hono/node-server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <1.19.13 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=1.19.13 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>@hono/node- │
│ │ server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-92pp-h63x-v22m │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ LangSmith Client SDKs has Prototype Pollution in │
│ │ langsmith-sdk via Incomplete `__proto__` Guard in │
│ │ Internal lodash `set()` │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=0.5.17 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=0.5.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__langchain>@langchain/core>langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-fw9q-39r9-c252 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ hono Improperly Handles JSX Attribute Names Allows │
│ │ HTML Injection in hono/jsx SSR │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.14 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.14 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-458j-xx4x-4375 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ LangSmith SDK: Streaming token events bypass output │
│ │ redaction │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=0.5.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=0.5.19 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__langchain>@langchain/core>langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-rr7j-v2q5-chgv │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono has incorrect IP matching in ipRestriction() for │
│ │ IPv4-mapped IPv6 addresses │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-xpcf-pg52-r92g │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ uuid: Missing buffer bounds check in v3/v5/v6 when buf │
│ │ is provided │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=13.0.0 <13.0.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=13.0.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/mcp>uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-w5hq-g745-h8pq │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ uuid: Missing buffer bounds check in v3/v5/v6 when buf │
│ │ is provided │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=11.0.0 <11.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=11.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@a2a-js/sdk>uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-w5hq-g745-h8pq │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ ip-address has XSS in Address6 HTML-emitting methods │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ ip-address │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=10.1.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=10.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>express- │
│ │ rate-limit>ip-address │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-v2v4-37r5-5v8g │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: bodyLimit() can be bypassed for chunked / │
│ │ unknown-length requests │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-9vqf-7f2p-gf9v │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ hono/jsx has Unvalidated JSX Tag Names that May Allow │
│ │ HTML Injection │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-69xw-7hcm-h432 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono has CSS Declaration Injection via Style Object │
│ │ Values in JSX SSR │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-qp7p-654g-cw7p │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono's Cache Middleware ignores Vary: Authorization / │
│ │ Vary: Cookie leading to cross-user cache leakage │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-p77w-8qqv-26rm │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ protobufjs has overlong UTF-8 decoding │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @protobufjs/utf8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=1.1.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=1.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/ │
│ │ genai>protobufjs>@protobufjs/utf8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q6x5-8v7m-xcrf │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ protobufjs has overlong UTF-8 decoding │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q6x5-8v7m-xcrf │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ protobuf.js: Denial of service from crafted field │
│ │ names in generated code │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-2pr8-phx7-x9h3 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ protobuf.js: Prototype injection in generated message │
│ │ constructors │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=7.5.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=7.5.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>protobufjs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-fx83-v9x8-x52w │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ low │ Hono added timing comparison hardening in basicAuth │
│ │ and bearerAuth │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.11.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.11.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-gq3j-xvxp-8hrf │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ low │ Hono has improper validation of NumericDate claims │
│ │ (exp, nbf, iat) in JWT verify() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-hm8q-7f3q-5f36 │
└─────────────────────┴────────────────────────────────────────────────────────┘
53 vulnerabilities found
Severity: 2 low | 29 moderate | 21 high | 1 critical