Skip to content

chore(deps): 11 alertes de sécurité du lock — anyio, urllib3, virtualenv, mkdocs - #286

Merged
traoreera merged 1 commit into
mainfrom
fix/security-deps-lock
Oct 1, 2026
Merged

chore(deps): 11 alertes de sécurité du lock — anyio, urllib3, virtualenv, mkdocs#286
traoreera merged 1 commit into
mainfrom
fix/security-deps-lock

Conversation

@traoreera

@traoreera traoreera commented Oct 1, 2026 •
edited by sourcery-ai Bot
Loading

Copy link
Copy Markdown
Owner

Résumé

Résout les 11 alertes Dependabot ouvertes sur poetry.lock, par une mise à jour ciblée des quatre paquets concernés (poetry update anyio urllib3 virtualenv mkdocs-material). Aucune contrainte de pyproject.toml n'est modifiée : toutes autorisaient déjà les versions corrigées.

Paquet Alertes Lock avant → après Origine
anyio 3 (1 critique GHSA-82r6-8w77-94w6, 1 haute GHSA-3w57-8xmc-8v26, 1 moyenne GHSA-5p39-cfhj-2xmp) 4.14.1 → 4.15.1 (corrigé dès 4.14.2) transitif (starlette, httpx)
urllib3 3 (2 hautes GHSA-8988-9cw3-xx77 / GHSA-vxq7-64xx-v4gw, 1 moyenne GHSA-gh4c-6fx4-qh6g) 2.7.0 → 2.8.0 transitif
virtualenv 4 (3 hautes + 1 moyenne) 21.6.0 → 21.14.3 (corrigé dès 21.7.13) dev
mkdocs-material 1 moyenne GHSA-xvg9-69gf-fjrf 9.7.6 → 9.7.7 direct, dev

python-discovery (dépendance de virtualenv, dev) passe de 1.4.3 à 1.6.1 avec lui. Le diff du lock se limite à ces cinq paquets.

Vérification

  • Suite complète : 1405 passed, 1 skipped avec anyio 4.15.1.
  • poetry check --lock OK ; mkdocs build --strict OK.
  • pip-audit sur l'environnement mis à jour : plus aucune de ces vulnérabilités (reste seulement pip 26.1.2 / PYSEC-2026-3721, l'outil du venv, absent du lock).

Release

Aucune release nécessaire : seul le lock change, le contenu et les métadonnées du paquet publié sont identiques (les utilisateurs de pip install ne résolvent pas via ce lock). Les alertes se ferment à la fusion dans main.

Summary by Sourcery

Refresh locked development and transitive dependencies to eliminate the 11 reported security vulnerabilities without changing package constraints or published artifacts.

Enhancements:

  • Update the lock file dependencies to patched releases that resolve the reported security vulnerabilities in anyio, urllib3, virtualenv, and mkdocs-material.

Tests:

  • Verify the updated dependency set with the full test suite, lock validation, strict documentation build, and security audit.

Chores:

  • Refresh the transitive python-discovery dependency alongside virtualenv.

@traoreera
chore(deps): correctifs de sécurité du lock — anyio, urllib3, virtual…
2af98aa 
…env, mkdocs-material

Résout les 11 alertes Dependabot ouvertes sur poetry.lock :
- anyio 4.14.1 → 4.15.1 (critique GHSA-82r6-8w77-94w6, haute GHSA-3w57-8xmc-8v26,
  moyenne GHSA-5p39-cfhj-2xmp ; corrigé en 4.14.2)
- urllib3 2.7.0 → 2.8.0 (2 hautes GHSA-8988-9cw3-xx77 / GHSA-vxq7-64xx-v4gw,
  1 moyenne GHSA-gh4c-6fx4-qh6g)
- virtualenv 21.6.0 → 21.14.3 (3 hautes + 1 moyenne ; corrigé en 21.7.13) et sa
  dépendance python-discovery 1.4.3 → 1.6.1 (dev)
- mkdocs-material 9.7.6 → 9.7.7 (moyenne GHSA-xvg9-69gf-fjrf, dev)

Mise à jour ciblée (poetry update des 4 paquets, aucune contrainte de pyproject.toml
modifiée : toutes autorisaient déjà les versions corrigées). Lock seul : le contenu
du paquet publié ne change pas. Suite complète 1405 passed, mkdocs build --strict
OK, pip-audit propre sur ces paquets.
@sourcery-ai

sourcery-ai Bot commented Oct 1, 2026 •
edited
Loading

Copy link
Copy Markdown
Contributor
Reviewer's guide (collapsed on small PRs)

Reviewer's Guide

Le PR régénère ciblément poetry.lock afin de corriger 11 alertes Dependabot sur anyio, urllib3, virtualenv et mkdocs-material, avec la mise à jour transitive de python-discovery. Les contraintes de pyproject.toml et le contenu publié restent inchangés, et les validations indiquées confirment la compatibilité des nouvelles versions.

File-Level Changes

Change Details Files
Met à jour de façon ciblée les dépendances verrouillées affectées par les alertes de sécurité, sans modifier les contraintes déclaratives.
  • Met à jour anyio, urllib3, virtualenv et mkdocs-material vers des versions corrigées.
  • Met à jour python-discovery comme dépendance de virtualenv.
  • Limite le diff de poetry.lock aux cinq paquets concernés.
 poetry.lock
Vérifie la cohérence du lockfile, la suite de tests et la construction de la documentation après les mises à jour.
  • Confirme 1405 tests réussis et 1 test ignoré.
  • Valide poetry check --lock et mkdocs build --strict.
  • Confirme la disparition des vulnérabilités ciblées via pip-audit, avec seulement une vulnérabilité résiduelle de pip hors lock.
Tips and commands

Interacting with Sourcery

  • Trigger a new review: Comment @sourcery-ai review on the pull request.
  • Continue discussions: Reply directly to Sourcery's review comments.
  • Generate a GitHub issue from a review comment: Ask Sourcery to create an
    issue from a review comment by replying to it. You can also reply to a
    review comment with @sourcery-ai issue to create an issue from it.
  • Generate a pull request title: Write @sourcery-ai anywhere in the pull
    request title to generate a title at any time. You can also comment
    @sourcery-ai title on the pull request to (re-)generate the title at any time.
  • Generate a pull request summary: Write @sourcery-ai summary anywhere in
    the pull request body to generate a PR summary at any time exactly where you
    want it. You can also comment @sourcery-ai summary on the pull request to
    (re-)generate the summary at any time.
  • Generate reviewer's guide: Comment @sourcery-ai guide on the pull
    request to (re-)generate the reviewer's guide at any time.
  • Resolve all Sourcery comments: Comment @sourcery-ai resolve on the
    pull request to resolve all Sourcery comments. Useful if you've already
    addressed all the comments and don't want to see them anymore.
  • Dismiss all Sourcery reviews: Comment @sourcery-ai dismiss on the pull
    request to dismiss all existing Sourcery reviews. Especially useful if you
    want to start fresh with a new review - don't forget to comment
    @sourcery-ai review to trigger a new review!

Customizing Your Experience

Access your dashboard to:

  • Enable or disable review features such as the Sourcery-generated pull request
    summary, the reviewer's guide, and others.
  • Change the review language.
  • Add, remove or edit custom review instructions.
  • Adjust other review settings.

Getting Help

@github-actions github-actions Bot added the dependencies Pull requests that update a dependency file label Oct 1, 2026
sourcery-ai[bot]
sourcery-ai Bot reviewed Oct 1, 2026
View reviewed changes

@sourcery-ai sourcery-ai Bot left a comment

Copy link
Copy Markdown
Contributor

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

Hey - I've reviewed your changes and they look great!

Fixed security issues:

Sourcery is free for open source - if you like our reviews please consider sharing them ✨

@github-actions

github-actions Bot commented Oct 1, 2026

Copy link
Copy Markdown
Contributor

🚀 Deployed on https://docs-preview-286--candid-tanuki-92021a.netlify.app

@traoreera
traoreera merged commit 7b65799 into main Oct 1, 2026
23 checks passed
This was referenced Oct 2, 2026
Closed
Closed
Merged
traoreera added a commit that referenced this pull request Oct 2, 2026
@traoreera
chore(release): v2.7.1 — correctifs de sécurité du lock, CI 3.14, tes…
7964a06 
…t corrigé (#289)

## Résumé

Release de maintenance **2.7.1, sans changement runtime** : `xcore/` et
les bornes de dépendances de `pyproject.toml` sont identiques à la 2.7.0
(vérifié : `git diff v2.7.0 main -- xcore pyproject.toml` est vide). Le
wheel publié se comporte exactement comme la 2.7.0 ; cette version
embarque le rafraîchissement de sécurité et les correctifs de test/CI
déjà fusionnés dans `main`.

## Contenu (déjà dans `main`)

- **Lock** (#286) : 11 alertes Dependabot fermées (1 critique, 6 hautes,
4 moyennes) — `anyio` 4.14.1 → 4.15.1, `urllib3` 2.7.0 → 2.8.0,
`virtualenv` 21.6.0 → 21.14.3, `mkdocs-material` 9.7.6 → 9.7.7. Concerne
le dev, la CI et les builds qui installent depuis le lock ; `pip install
XCoreRuntime` résout ses propres versions.
- **Alerte CodeQL #29** rejetée comme faux positif (littéral
d'énumération `ExecutionMode.TRUSTED = "trusted"` journalisé), sans
changement de code.
- **Test** (#288) : `test_apply_positive` posait réellement
`RLIMIT_AS=512 Mo` sur le process pytest (irréversible) → `can't start
new thread` en 3.14. Corrigé + garde-fou dans `tests/conftest.py`.
- **CI** (#288) : matrice 3.12 / 3.13 / **3.14**.

## Cette PR

Bump `2.7.0 → 2.7.1` (`pyproject.toml`, `xcore/__version__.py` —
`__version__` et `__version_info__`), entrée `[2.7.1]` dans
`CHANGELOG.md` et `doc/changelog.md`, `CLAUDE.md`.

## Vérification

- Wheel 2.7.1 construit et installé dans un **virtualenv vierge**
(dépendances de base seulement) : `import xcore`, boot zero-config, un
plugin trusted et un plugin sandboxed appelés — OK.
- Le tag `v2.7.1` (donc la publication PyPI) ne sera posé qu'après la
fusion.

## Summary by Sourcery

Release version 2.7.1 with refreshed locked dependencies, safer
resource-limit testing, and Python 3.14 CI coverage.

Bug Fixes:
- Prevent tests from altering process resource limits and causing later
test failures, particularly on Python 3.14.

Enhancements:
- Add Python 3.14 to the CI test matrix.

Build:
- Refresh the dependency lockfile to address 11 Dependabot security
alerts without changing runtime dependency constraints.

Documentation:
- Document the 2.7.1 maintenance release and update the project version
references.

Chores:
- Bump the project version from 2.7.0 to 2.7.1 without changing runtime
behavior.
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Reviewers

@sourcery-ai sourcery-ai[bot] sourcery-ai[bot] left review comments

Assignees

No one assigned

Labels

dependencies Pull requests that update a dependency file

Projects

None yet

Milestone

No milestone

Development

Successfully merging this pull request may close these issues.

1 participant

@traoreera