依赖漏洞跟踪：image-size 无修复版本（GHSA-w3rx-r6r6-pgpr / GHSA-5p2g-fcmc-qvqq）

[DeliciousBuding]

2026-08-08 npm 公告：image-size <=2.0.2 存在 ICNS / JXL / HEIF 解析无限循环 DoS（high），而 image-size 最新版即 2.0.2——上游无修复版本（patched: <0.0.0）。

依赖链：mobile-rn > expo > @expo/metro > metro > image-size（metro 0.87.0 依赖 ^1.0.2）。

处理（PR #1662）：

• 已登记到 scripts/verify/vulnerability-exceptions.json（门禁降级为警告 + 追踪）
• dompurify / nanoid 同批公告已通过 pnpm.overrides 修复（可修复项不登记）

移除例外条件：image-size 发布修复版本并升级 metro/expo 链。请定期复查（npm view image-size version）。

[DeliciousBuding]

2026-08-14 复查：npm view image-size version 仍为 2.0.2（上游无修复版）。例外登记继续有效，下次随 metro/expo 升级复查。

[DeliciousBuding]

2026-08-16 复核：确认无可动作项

• image-size@1.2.1 是 metro 0.84.4（React Native bundler）的传递依赖，仅 app/mobile-rn 构建期使用，非运行时、非直接依赖。
• 上游 GHSA-w3rx-r6r6-pgpr / GHSA-5p2g-fcmc-qvqq 无修复版本（1.2.1 是最新）。
• 处置：持续跟踪；等 metro 上游升级 image-size 或出修复版后由 Renovate/Dependabot 自动收敛。当前无人工动作。

[DeliciousBuding]

复查 2026-08-20：npm view image-size version 仍为 2.0.2，上游无修复版本发布（GHSA-w3rx-r6r6-pgpr / GHSA-5p2g-fcmc-qvqq 仍无 patched 版本）。维持 scripts/verify/vulnerability-exceptions.json 登记（门禁降级为警告 + 追踪），不解除例外。下次复查建议 2026-09-20。

[DeliciousBuding]

2026-08-21 复查（#1663 lane 独立执行）：上游仍无修复版本，不改代码

盘点（wt-1663 worktree，基于最新 origin/master afbc11a 只读核对 lock）：

• 锁定版本：image-size@1.2.1（app/pnpm-lock.yaml），唯一引入方为 metro@0.84.4，约束 image-size ^1.0.2。
• 引入路径：app/mobile-rn > expo@56.0.19 > @expo/metro@56.0.0 > metro@0.84.4 > image-size@1.2.1（仅 Mobile 构建期传递依赖，非运行时、非直接依赖）。

修复状态：

• npm view image-size version = 2.0.2（未变）；1.x 线最新仍是 1.2.1，无任何新发布。
• GHSA-w3rx-r6r6-pgpr（ICNS 无限循环 DoS，high）：vulnerable <= 2.0.2，first_patched_version = null。
• GHSA-5p2g-fcmc-qvqq（JXL/HEIF 无限循环 DoS，high）：vulnerable <= 2.0.2，first_patched_version = null。
• 上游（image-size 仓库 / npm）均无修复版本可升；metro ^1.0.2 约束下也无安全版本可解析。

动作： 无代码变更，不开 PR。scripts/verify/vulnerability-exceptions.json 中两条例外登记（2026-08-08 添加，tracking #1663）继续有效，门禁维持降级为警告。

下次复查触发条件：

1. npm view image-size version ≠ 2.0.2（上游发新版）；或
2. metro / @expo/metro / expo 上游 bump image-size 至修复版；或
3. 定期复查（沿用上次建议：2026-09-20）。
   满足任一即升级依赖链并移除例外登记。

[DeliciousBuding]

2026-08-25 定期复查：npm view image-size version → 2.0.2，上游仍无修复版本（与公告时一致）。例外继续保留，待 image-size 发布修复版本后升级 metro/expo 链并移除 scripts/verify/vulnerability-exceptions.json 条目。

[DeliciousBuding]

定期复查（2026-08-26）：
pm view image-size version = 2.0.2 —— 上游仍无修复版本，例外继续有效。下次触发：上游发布 >2.0.2 或下次审计周期。

[DeliciousBuding]

复查（2026-08-30，主线）：

上游状态：仍无修复版本。两个 GHSA（ICNS 无限循环 / JXL+HEIF 无限循环，均 high）的 vulnerable range 均为 <= 2.0.2，first_patched_version=null；上游最新 2.0.2 / 1.2.1（2025-04-02）均在受影响范围内。

仓库现状：app/pnpm-lock.yaml 锁在 image-size@1.2.1（上游最新版，无法升级脱险）。

可达性分析：全仓唯一导入方 = metro@0.84.4（mobile-rn 打包器），仅构建/开发期处理源码树内静态图片资产——运行时不接触用户上传文件。实际暴露面=供应链/开发期（恶意 ICNS/JXL/HEIF 资产进入仓库才触发），风险等级维持 P2 跟踪。

缓解建议：①不引入来源不受信的 ICNS/JXL/HEIF 资产；②每季度复查 GHSA patched 状态；③如 metro 后续版本切换图片探测实现可评估解除依赖。本 issue 保持跟踪。

[DeliciousBuding]

定期复查（2026-09-02，round-60）

按本 issue 的「请定期复查」要求执行了一次上游核实：

$ npm view image-size version
2.0.2
$ npm view image-size versions --json | tail
  "2.0.0", "2.0.1", "2.0.2"   # 2.0.2 仍是最新，无 2.0.3+

结论：上游仍无修复版本，GHSA-w3rx-r6r6-pgpr / GHSA-5p2g-fcmc-qvqq 的例外登记继续有效，本 issue 保持 OPEN。移除例外的前置条件（image-size 发布修复版本 + 升级 metro/expo 链）尚未满足。

同批复查发现的一项可修漏洞（不属于本 issue，另开切片处理）

gh api repos/TokenDanceLab/AgentHub/dependabot/alerts 当前 open 告警共 3 条：

• high × 2 → image-size（app/pnpm-lock.yaml，<= 2.0.2，no patch）= 本 issue
• low × 1 → postcss-selector-parser（app/pnpm-lock.yaml，>= 7.1.0, < 7.1.3 → patched 7.1.3）；当前 lockfile 锁在 7.1.1（app/pnpm-lock.yaml:6257、:14838，被 @csstools/selector-specificity@5.0.0 与 postcss 相关链引用）

scripts/verify/vulnerability-exceptions.json 的 _comment 明确规定「有修复版本的漏洞必须通过 overrides 升级解决，禁止登记」，因此这一条不进例外表，走 pnpm.overrides 升级（与既有 dompurify / nanoid 同批做法一致），目标是把 open 告警从 3 条降到 2 条（剩余 2 条即本 issue 的不可修项）。