@7n/rules@1.32.0: Suspicious npm security report (Warn) | LPM Firewall

Loading npm security reports…

@7n/rules@1.32.0: Suspicious npm security report (Warn) | LPM Firewall

Source & flagged code

6 flagged · loading source

bin/n-rules.jsView file

68L69: import { spawnSync } from 'node:child_process' L70: import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L68

1749// --stop Stop: робоче дерево vs HEAD L1750: const { runHookCli } = await import('../scripts/hook.mjs') L1751: process.exitCode = await runHookCli(args)

Medium

Dynamic Require

Package source references dynamic require/import behavior.

bin/n-rules.jsView on unpkg · L1749

scripts/lib/resolve-plugins.mjsView file

9* L10: * Установка: `ensurePluginInstalled` — плагін стає devDependency через `bun add -d` (bun сам L11: * резолвить актуальну версію; зміна видима у diff package.json). Фейл установки (offline, ... L21: import { existsSync, readdirSync, readFileSync } from 'node:fs' L22: import { spawnSync } from 'node:child_process' L23: import { join, resolve } from 'node:path'

High

Runtime Package Install

Package source invokes a package manager install command at runtime.

scripts/lib/resolve-plugins.mjsView on unpkg · L9

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 24519 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 24519 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

scripts/lib/ensure-tool.mjsView file

•matchType = previous_version_dangerous_delta matchedPackage = @7n/rules@1.29.3 matchedIdentity = npm:QDduL3J1bGVz:1.29.3 similarity = 0.917 summary = stored previous version shares package body but lacks this dangerous source file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

scripts/lib/ensure-tool.mjsView on unpkg

Source & flagged code

6 flagged

bin/n-rules.jsView file

Lines 48-88javascript

48 *

49 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

50 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

51 *

52 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-rules.json

53 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

54 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

55 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

56 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

57 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

58 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

59 * не чіпає — їх потрібно прибрати вручну.

60 *

61 * Якщо в корені є package.json і в ньому ще немає \@7n/rules у devDependencies (і не оголошено

62 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

63 *

64 * Перед копіюванням правил (режим без підкоманди): оновлення \@7n/rules у package.json до

65 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

66 * `node_modules/@7n/rules`, якщо пакет з’явився після встановлення.

67 */

68

69import { spawnSync } from 'node:child_process'

70import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L68

71import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

72import { basename, dirname, join, resolve } from 'node:path'

73import { cwd, env } from 'node:process'

74import { fileURLToPath } from 'node:url'

75

76import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

77import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

78import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

79import {

80 detectAutoRules,

81 detectLegacyRuleIds,

82 mergeConfigWithAutoDetected,

83 normalizeIdList,

84 RULE_MIGRATIONS

85} from '../scripts/auto-rules.mjs'

86import { detectAutoSkills } from '../scripts/auto-skills.mjs'

87import {

88 bringChangesBackToOriginal,

Lines 1729-1769javascript

1729 }

1730 // `ci` (plan) — read-only гейт-команда для CI-джоб: не мутує package.json

1731 // (ensure дописав би devDependency прямо в чекауті pipeline-агента).

1732 if (command !== 'ci') await ensureNRulesInRootDevDependencies(effectiveRoot)

1733 // Підкоманди-оркестратори (hook/lint/skill/adr-normalize-local/taze/release тощо)

1734 // можуть спавнити внутрішню agent/LLM-сесію — ADR Stop-hooks (capture/normalize)

1735

scripts/lib/resolve-plugins.mjsView file

Lines 1-29javascript

1/**

2 * Резолв плагінів `@7n/rules`: які пакети-плагіни активні у проєкті, де їхні `rules/`,

3 * які capabilities вони дають і які handlers надають.

4 *

5 * Джерело правди — поле `plugins: string[]` у `.n-rules.json` (завжди перекриває автодетект;

6 * явний `[]` = «плагіни вимкнено»). Якщо поля немає — `detectPluginsFromRepo`: файлові сигнали

7 * (`.github/workflows/*.yml` → `@7n/rules-ci-github`; `azure-pipelines.yml` → `@7n/rules-ci-azure`),

8 * а без них — fallback за `repository.url` кореневого package.json (`github.com` / `dev.azure.com`).

9 *

10

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 24519 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 24519 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

scripts/lib/ensure-tool.mjsView file

•matchType = previous_version_dangerous_delta matchedPackage = @7n/rules@1.29.3 matchedIdentity = npm:QDduL3J1bGVz:1.29.3 similarity = 0.917 summary = stored previous version shares package body but lacks this dangerous source file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

scripts/lib/ensure-tool.mjsView on unpkg