@jkomynochecks…feat/coalesce-toolchain-versions-mise-phase-2 → next61 files · +830 −420updated 3d agoDepends on #3492.
This completes the Phase 2 migration by removing the transitional version-file layer and making mise.toml plus mise.lock the repository toolchain source of truth. It also moves runtime test matrices into toolchain-versions.json, so CI matrix changes are explicit and reviewable without reintroducing .nvmrc, .dvmrc, .bun-version, or .python-version.
The Node.js e2e matrix now starts at the latest Node 22 LTS line and also covers the latest Node 24 and Node 25 lines. That removes Node 20 from the well-known e2e versions while keeping us covered on the runtimes SDK users are moving toward.
Phase 1 introduced mise side by side with the existing version files to keep the first PR low-risk. Phase 2 removes that compatibility layer so there is one place to update tool versions. That avoids silent drift between local setup, GitHub Actions, Docker E2E images, release docs, and install-time checks.
The composite setup actions now install Node, Bun, Python, and uv through mise by default, with explicit version overrides only where a matrix needs them. New GitHub actions added in this PR are pinned by release commit SHA and include the release version comment.
.nvmrc, .bun-version, .dvmrc, root .python-version, and python/.python-version.idiomatic_version_file_enable_tools from mise.toml and added a committed mise.lock for linux/macOS x64/arm64 tool resolution.BYPASS_BUN_VERSION_CHECK with BYPASS_TOOLCHAIN_CHECK, and made Docker E2E image installs use that bypass because they receive explicit build args instead of installing mise.*-version-file inputs, report resolved versions, and cache pnpm after corepack enable.toolchain-versions.json for TS E2E, Python tests, and CLI npm fallback coverage.22.22.3, 24.16.0, and 25.9.0, removing Node 20 from the well-known runtime versions.mise.toml / mise.lock.22.22.3, 24.16.0, 25.9.0 (https://nodejs.org/dist/index.json).pnpm install --frozen-lockfilepnpm --filter @e2e-tests/utils typecheckpnpm --filter @e2e-tests/utils exec tsc --noEmit --target es2022 --module esnext --moduleResolution bundler --types bun --resolveJsonModule --skipLibCheck --strict scripts/docker-build.tsbash -n ts/scripts/pre-install.sh && bun run ts/scripts/pre-install/check-toolchain.ts && BYPASS_TOOLCHAIN_CHECK=1 bash ts/scripts/pre-install.shpnpm exec prettier --check ... on touched YAML/Markdown/TS/JSON filesruby -e "require \"yaml\"; ARGV.each { |f| YAML.load_file(f) }" ... on touched actions/workflowsmise lock --platform linux-x64,linux-arm64,macos-arm64,macos-x64 && git diff --exit-code mise.lockmise exec node@22.22.3 -- pnpm --filter @e2e-tests/utils typecheckmise exec node@22.22.3 -- pnpm --filter @e2e-tests/node-esm-basic typecheckmise exec node@22.22.3 -- pnpm --filter @e2e-tests/node-cjs-basic typecheckdocker manifest inspect node:24.16.0-slimdocker manifest inspect node:25.9.0-slimgit diff --checkThe latest updates on your projects. Learn more about Vercel for GitHub.
| Project | Deployment | Actions | Updated (UTC) |
|---|---|---|---|
| docs |  Error | Jun 9, 2026 2:52pm |
⚠️ Security Audit Warning
The pnpm audit --prod check found security vulnerabilities in production dependencies.
Please review and fix the vulnerabilities. You can try running:
pnpm audit --fix --prod
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has a ReDoS via repeated wildcards with │
│ │ non-matching literal in pattern │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.1.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.1.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>openapi-typescript>@redocly/openapi- │
│ │ core>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3ppc-4f35-3m26 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has a ReDoS via repeated wildcards with │
│ │ non-matching literal in pattern │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=9.0.0 <9.0.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=9.0.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3ppc-4f35-3m26 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has ReDoS: matchOne() combinatorial │
│ │ backtracking via multiple non-adjacent GLOBSTAR │
│ │ segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>openapi-typescript>@redocly/openapi- │
│ │ core>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-7r86-cg39-jmmj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has ReDoS: matchOne() combinatorial │
│ │ backtracking via multiple non-adjacent GLOBSTAR │
│ │ segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=9.0.0 <9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-7r86-cg39-jmmj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch has ReDoS: matchOne() combinatorial │
│ │ backtracking via multiple non-adjacent GLOBSTAR │
│ │ segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=10.0.0 <10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-7r86-cg39-jmmj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch ReDoS: nested *() extglobs generate │
│ │ catastrophically backtracking regular expressions │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.1.8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>openapi-typescript>@redocly/openapi- │
│ │ core>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-23c5-xmqv-rm74 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch ReDoS: nested *() extglobs generate │
│ │ catastrophically backtracking regular expressions │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=9.0.0 <9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=9.0.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-23c5-xmqv-rm74 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ minimatch ReDoS: nested *() extglobs generate │
│ │ catastrophically backtracking regular expressions │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=10.0.0 <10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=10.2.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-23c5-xmqv-rm74 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Hono vulnerable to arbitrary file access via │
│ │ serveStatic vulnerability │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q5qw-h33p-qvwr │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ @hono/node-server has authorization bypass for │
│ │ protected static paths via encoded slashes in Serve │
│ │ Static Middleware │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @hono/node-server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <1.19.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=1.19.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>@hono/node- │
│ │ server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-wc8c-qw6v-h7f6 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ express-rate-limit: IPv4-mapped IPv6 addresses bypass │
│ │ per-client rate limiting on servers with dual-stack │
│ │ network │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ express-rate-limit │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=8.2.0 <8.2.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=8.2.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>express- │
│ │ rate-limit │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-46wh-pxpv-q5gq │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Effect `AsyncLocalStorage` context lost/contaminated │
│ │ inside Effect fibers under concurrent load with RPC │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ effect │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <3.20.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=3.20.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>effect │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-38f7-945m-qr2g │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Picomatch has a ReDoS vulnerability via extglob │
│ │ quantifiers │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>ts-morph>@ts-morph/common>fast- │
│ │ glob>micromatch>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-c2c7-rcm5-vvqj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ Picomatch has a ReDoS vulnerability via extglob │
│ │ quantifiers │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@effect/platform-node- │
│ │ shared>@parcel/watcher>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-c2c7-rcm5-vvqj │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ lodash vulnerable to Code Injection via `_.template` │
│ │ imports key names │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <=4.17.23 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.18.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__llamaindex>llamaindex>lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-r5fr-rjxr-66jc │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ fast-uri vulnerable to path traversal via │
│ │ percent-encoded dot segments │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=3.1.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=3.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>ajv>fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q3j6-qgpj-74h6 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ fast-uri vulnerable to host confusion via │
│ │ percent-encoded authority delimiters │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=3.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=3.1.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>ajv>fast-uri │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-v39h-62p7-jpjc │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ high │ LangSmith SDK: Public prompt pull deserializes │
│ │ untrusted manifests without trust boundary warning │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <0.6.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=0.6.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__langchain>@langchain/core>langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3644-q5cj-c5c7 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono Vulnerable to Cookie Attribute Injection via │
│ │ Unsanitized domain and path in setCookie() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-5pq2-9x2x-5p6w │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono Vulnerable to SSE Control Field Injection via │
│ │ CR/LF in writeSSE() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-p6xx-57qc-3wxr │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono vulnerable to Prototype Pollution possible │
│ │ through __proto__ key allowed in parseBody({ dot: true │
│ │ }) │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.7 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-v8w9-8mx6-g223 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ brace-expansion: Zero-step sequence causes process │
│ │ hang and memory exhaustion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=2.0.0 <2.0.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.0.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/genai>google-auth- │
│ │ library>gaxios>rimraf>glob>minimatch>brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f886-m6hf-6m8v │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ brace-expansion: Zero-step sequence causes process │
│ │ hang and memory exhaustion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <5.0.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.0.5 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch>brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f886-m6hf-6m8v │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Picomatch: Method Injection in POSIX Character Classes │
│ │ causes incorrect Glob Matching │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.3.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>ts-morph>@ts-morph/common>fast- │
│ │ glob>micromatch>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3v7f-55p6-f55p │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Picomatch: Method Injection in POSIX Character Classes │
│ │ causes incorrect Glob Matching │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.0.4 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@effect/platform-node- │
│ │ shared>@parcel/watcher>picomatch │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3v7f-55p6-f55p │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ yaml is vulnerable to Stack Overflow via deeply nested │
│ │ YAML collections │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ yaml │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=2.0.0 <2.8.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=2.8.3 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@effect/cli>yaml │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-48c2-rrv3-qjmp │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ lodash vulnerable to Prototype Pollution via array │
│ │ path bypass in `_.unset` and `_.omit` │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=4.17.23 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.18.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__llamaindex>llamaindex>lodash │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f23m-r3pf-42rh │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono missing validation of cookie name on write path │
│ │ in setCookie() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-26pp-8wgv-hjvm │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Non-breaking space prefix bypass in cookie name │
│ │ handling in getCookie() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-r5rp-j6wh-rvv4 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Path traversal in toSSG() allows writing files │
│ │ outside the output directory │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=4.0.0 <=4.12.11 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-xf4j-xp2r-rqqx │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Middleware bypass via repeated slashes in │
│ │ serveStatic │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-wmmm-f939-6g9c │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ @hono/node-server: Middleware bypass via repeated │
│ │ slashes in serveStatic │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @hono/node-server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <1.19.13 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=1.19.13 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>@hono/node- │
│ │ server │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-92pp-h63x-v22m │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ LangSmith Client SDKs has Prototype Pollution in │
│ │ langsmith-sdk via Incomplete `__proto__` Guard in │
│ │ Internal lodash `set()` │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=0.5.17 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=0.5.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__langchain>@langchain/core>langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-fw9q-39r9-c252 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ hono Improperly Handles JSX Attribute Names Allows │
│ │ HTML Injection in hono/jsx SSR │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.14 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.14 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-458j-xx4x-4375 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ LangSmith SDK: Streaming token events bypass output │
│ │ redaction │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=0.5.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=0.5.19 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__langchain>@langchain/core>langsmith │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-rr7j-v2q5-chgv │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono has incorrect IP matching in ipRestriction() for │
│ │ IPv4-mapped IPv6 addresses │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.12 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-xpcf-pg52-r92g │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono has CSS Declaration Injection via Style Object │
│ │ Values in JSX SSR │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-qp7p-654g-cw7p │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ ip-address has XSS in Address6 HTML-emitting methods │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ ip-address │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=10.1.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=10.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@modelcontextprotocol/sdk>express- │
│ │ rate-limit>ip-address │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-v2v4-37r5-5v8g │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ protobufjs has overlong UTF-8 decoding │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @protobufjs/utf8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=1.1.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=1.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__examples__google>@google/ │
│ │ genai>protobufjs>@protobufjs/utf8 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q6x5-8v7m-xcrf │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono's Cache Middleware ignores Vary: Authorization / │
│ │ Vary: Cookie leading to cross-user cache leakage │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-p77w-8qqv-26rm │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: bodyLimit() can be bypassed for chunked / │
│ │ unknown-length requests │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-9vqf-7f2p-gf9v │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ hono/jsx has Unvalidated JSX Tag Names that May Allow │
│ │ HTML Injection │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.16 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-69xw-7hcm-h432 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ ws: Uninitialized memory disclosure │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ ws │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=8.0.0 <8.20.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=8.20.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>openai>ws │
│ │ │
│ │ ts__examples__google>@google/genai>ws │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-58qx-3vcg-4xpx │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ uuid: Missing buffer bounds check in v3/v5/v6 when buf │
│ │ is provided │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <11.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=11.1.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@a2a-js/sdk>uuid │
│ │ │
│ │ ts__examples__langchain>@langchain/core>uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-w5hq-g745-h8pq │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ uuid: Missing buffer bounds check in v3/v5/v6 when buf │
│ │ is provided │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=13.0.0 <13.0.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=13.0.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/mcp>uuid │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-w5hq-g745-h8pq │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ qs has a remotely triggerable DoS: qs.stringify │
│ │ crashes with TypeError on null/undefined entries in │
│ │ comma-format arrays when encodeValuesOnly is set │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ qs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=6.11.1 <=6.15.1 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=6.15.2 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@a2a-js/sdk>body-parser>qs │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-q8mj-m7cp-5q26 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: IP Restriction bypasses static deny rules for │
│ │ non-canonical IPv6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-xrhx-7g5j-rcj5 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: Cookie helper does not sanitize sameSite and │
│ │ priority, allowing Set-Cookie injection │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-3hrh-pfw6-9m5x │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: JWT middleware accepts any Authorization scheme, │
│ │ not only Bearer │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-f577-qrjj-4474 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ Hono: app.mount() strips mount prefix using undecoded │
│ │ path, causing incorrect routing for percent-encoded │
│ │ paths │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.21 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-2gcr-mfcq-wcc3 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ moderate │ brace-expansion: Large numeric range defeats │
│ │ documented `max` DoS protection │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ >=5.0.0 <5.0.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=5.0.6 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__packages__cli>@zed-industries/claude-code- │
│ │ acp>minimatch>brace-expansion │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-jxxr-4gwj-5jf2 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ low │ Hono added timing comparison hardening in basicAuth │
│ │ and bearerAuth │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.11.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.11.10 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-gq3j-xvxp-8hrf │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ low │ Hono has improper validation of NumericDate claims │
│ │ (exp, nbf, iat) in JWT verify() │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ >=4.12.18 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__cloudflare__cf-workers- │
│ │ basic>hono │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-hm8q-7f3q-5f36 │
└─────────────────────┴────────────────────────────────────────────────────────┘
┌─────────────────────┬────────────────────────────────────────────────────────┐
│ low │ @ai-sdk/provider-utils has an Uncontrolled Resource │
│ │ Consumption issue │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Package │ @ai-sdk/provider-utils │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Vulnerable versions │ <=3.0.97 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Patched versions │ <0.0.0 │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ Paths │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v3>@mastra/core>@ai-sdk/ui-utils>@ai-sdk/provider- │
│ │ utils │
│ │ │
│ │ ts__e2e-tests__runtimes__node__mastra-tool-router-zod- │
│ │ v4>@mastra/core>@ai-sdk/ui-utils>@ai-sdk/provider- │
│ │ utils │
│ │ │
│ │ ts__examples__mcp>@ai-sdk/openai>@ai-sdk/provider- │
│ │ utils │
│ │ │
│ │ ... Found 4 paths, run `pnpm why │
│ │ @ai-sdk/provider-utils` for more information │
├─────────────────────┼────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-866g-f22w-33x8 │
└─────────────────────┴────────────────────────────────────────────────────────┘
59 vulnerabilities found
Severity: 6 low | 35 moderate | 18 high