OSV 新公告波:js-yaml(GHSA-5p4m-2wfm-xmqj,High 7.5)+ mermaid 11.16.0 五条 —— Validate Dependencies 对触发它的 PR 全数转红

[qq9340100]

现象

PR #6069 新 head 46f8d19 的 Validate Package Dependencies job(run 31132523916,2026-08-06 23:51Z)被 osv-scanner 判红,扫描对象是 pnpm-lock.yaml(该 PR 零依赖变化,与 main 同锁文件)。这是新发布的上游公告波,不是任何 PR 引入的;validate-deps.yml 是路径触发,只有 diff 碰到依赖相关文件的 PR 才会跑到它 —— 所以症状是「偶发地只咬部分 PR」,直到锁文件升级落地。

扫描读数(完整表)

OSV	CVSS	包	现版本	修复版本
GHSA-5p4m-2wfm-xmqj	7.5 High	js-yaml	3.15.0	3.15.1
GHSA-5p4m-2wfm-xmqj	7.5 High	js-yaml	4.3.0	4.3.1
GHSA-2v8p-3f2j-5mp7	5.3	mermaid	11.16.0	11.16.1
GHSA-3rrr-jr9j-h3q3	6.5	mermaid	11.16.0	11.16.1
GHSA-6x64-9x62-f2gx	5.3	mermaid	11.16.0	11.16.1
GHSA-c4c3-pg64-4m4v	2.4	mermaid	11.16.0	11.16.1
GHSA-rhh3-jpg6-66xh	5.3	mermaid	11.16.0	11.16.1

全部 7 条都有 patch 级修复版本(js-yaml 3.15.1 / 4.3.1,mermaid 11.16.1),预期是一次锁文件 bump 收口(逐包 pnpm why 归因由认领者做)。

处置建议

• 修复是共享基础设施动作(锁文件),按 Operational notes 8:入队前按「症状」复查 main 上该文件的近期提交,避免与在飞的依赖 bump 撞车;
• Validate Package Dependencies 不在合并队列 required 集(今晚队列以 Spec Liveness / Lint & Type Check / CI 三件套照常过了 5 单),波及面是「触发它的 PR 挂一个 advisory 红」—— 已在 PR refactor(spec): 三个热点生成物按 category / entrypoint 分片,拆掉合并队列的串行税 (#5837) #6069 留档说明,不阻塞其落地;
• 本单按协议以 finding 立单、不带 assignee,交分诊定级与归属车道。

立单前查重:js-yaml / mermaid / GHSA-5p4m-2wfm-xmqj 三仓搜索零影子单(命中的 #4537/#1795/#740 均不相关)。

[qq9340100]

认领:PM 循环第 2 轮(cli 车道,维护者点名优先)
会话:session_01Wbxm29qPKnLf44AbSxizqW(GitHub 账号 qq9340100)
分支:claude/issue-6088-osv-jsyaml-mermaid
Worktree:objectstack-issue-6088
域:无 domain:*(维护者 2026-08-07 直接指示本车道「优先处理」,晋级 finding → pm:queue 即依此;域标签留分诊座位事后补,⛔ 本座位不自打)
文件面:pnpm-lock.yaml(js-yaml 3.15.0→3.15.1 / 4.3.0→4.3.1、mermaid 11.16.0→11.16.1 的定向重解析)+ 如需 package.json overrides + changeset 或 skip-changeset(由 dev 按惯例判并说明);⛔ 不做全量重解析,⛔ 不动其它依赖

执行依据:维护者点名优先(共享门禁止血:Validate Package Dependencies 对触发它的 PR 全数转红)。Operational notes 8 症状复查已做:origin/main 锁文件最后一笔为 9c90ea0b7(sms 功能,非 OSV 修复),三仓无 js-yaml/mermaid 影子单(立单人已查),开放 PR 零撞车 —— 修复面当前无人在飞。锁文件是并行必冲突面,本单独占该文件,期间本车道不再派发任何触锁文件的单。

---

Generated by Claude Code