registry / @7n/test / 0.13.0

@7n/test@0.13.0

CLI-утиліта @7n/test

Static Scan Results

scanned 6d ago · by rust-scanner

Static analysis completed at 93.0% confidence. No malicious behavior was detected; 8 low-signal pattern(s) were surfaced and cleared.

Static reason

No blocking static signals were detected.; previous stored version diff introduced dangerous source

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoDynamicRequireEnvironmentVarsEvalFilesystemNetworkShell

Supply chain

HighEntropyStrings

ManifestNo manifest risk signals triggered.

scanned 25 file(s), 184 KB of source

Source & flagged code

3 flagged

src/lib/runtime-probe.mjsView file

Lines 142-182javascript

142 if (Array.isArray(section)) {

143 capped[name] = section

144 .slice(0, PROBE_MAX_ENTRIES_PER_EXPORT)

145 .map(entry => ({ ...entry, output: capProbeOutput(entry.output) }))

146 } else if (section && typeof section === 'object' && 'constant' in section) {

147 capped[name] = { constant: capProbeOutput(section.constant) }

148 } else {

149 capped[name] = section

150 }

151 }

152 return capped

153}

154

155/**

156 * Запускає node з probe-скриптом у порожній тимчасовій cwd: відносні

157 * I/O-читання probe-ованих функцій (напр. `readFile('COVERAGE.md')` при

158 * порожньому аргументі шляху) не бачать файлів проєкту — вихід

159 * детермінований між машинами і не може випадково затягнути великий

160 * файл репозиторію у LLM-промпт.

161 * @param {string} script код для виконання

162 * @param {number} [timeout] ліміт очікування в мс; за замовчуванням `PROBE_TIMEOUT_MS`

163 * @returns {import('node:child_process').SpawnSyncReturns<string>} результат spawnSync

164 */

Medium

Dynamic Require

Package source references dynamic require/import behavior.

src/lib/runtime-probe.mjsView on unpkg · L162

165function spawnProbe(script, timeout = PROBE_TIMEOUT_MS) {

166 const cwd = mkdtempSync(join(tmpdir(), 'n-probe-'))

167 try {

168 return spawnSync('node', ['--input-type=module'], {

169 input: script,

170 encoding: 'utf8',

171 timeout,

172 env: { ...process.env },

173 cwd

174 })

175 } finally {

176 rmSync(cwd, { recursive: true, force: true })

177 }

178}

179

180/**

181 * Пробує експорти модуля у дочірньому процесі й повертає фактичні виходи.

182 * @param {string} absFilePath абсолютний шлях до джерела модуля

Lines 194-234javascript

194

195const probeInputs = ${JSON.stringify(PROBE_INPUTS)}

196const names = ${JSON.stringify(exportedNames)}

197const filePath = ${JSON.stringify(absFilePath)}

198

199let mod

200try {

201 mod = await import(filePath)

src/gen-tests.mjsView file

•matchType = previous_version_dangerous_delta matchedPackage = @7n/test@0.12.2 matchedIdentity = npm:QDduL3Rlc3Q:0.12.2 similarity = 0.800 summary = stored previous version shares package body but lacks this dangerous source file

High

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

src/gen-tests.mjsView on unpkg

Source & flagged code

3 flagged · loading source

src/lib/runtime-probe.mjsView file

162* @param {number} [timeout] ліміт очікування в мс; за замовчуванням `PROBE_TIMEOUT_MS` L163: * @returns {import('node:child_process').SpawnSyncReturns<string>} результат spawnSync L164: */

Medium

Dynamic Require

Package source references dynamic require/import behavior.

src/lib/runtime-probe.mjsView on unpkg · L162

214// safe eval of primitive literals L215: try { input = new Function('return ' + inputLiteral)() } catch { continue } L216: try {

Low

Eval

Package source references a known benign dynamic code generation pattern.

src/lib/runtime-probe.mjsView on unpkg · L214

src/gen-tests.mjsView file

High

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

src/gen-tests.mjsView on unpkg

Findings

1 High3 Medium4 Low

HighPrevious Version Dangerous Deltasrc/gen-tests.mjs

MediumDynamic Requiresrc/lib/runtime-probe.mjs

MediumNetwork

MediumEnvironment Vars

LowScripts Present

LowEvalsrc/lib/runtime-probe.mjs

LowFilesystem

LowHigh Entropy Strings

Source & flagged code

3 flagged

src/lib/runtime-probe.mjsView file

Lines 142-182javascript

142 if (Array.isArray(section)) {

143 capped[name] = section

144 .slice(0, PROBE_MAX_ENTRIES_PER_EXPORT)

145 .map(entry => ({ ...entry, output: capProbeOutput(entry.output) }))

146 } else if (section && typeof section === 'object' && 'constant' in section) {

147 capped[name] = { constant: capProbeOutput(section.constant) }

148 } else {

149 capped[name] = section

150 }

151 }

152 return capped

153}

154

155/**

156 * Запускає node з probe-скриптом у порожній тимчасовій cwd: відносні

157 * I/O-читання probe-ованих функцій (напр. `readFile('COVERAGE.md')` при

158 * порожньому аргументі шляху) не бачать файлів проєкту — вихід

159 * детермінований між машинами і не може випадково затягнути великий

160 * файл репозиторію у LLM-промпт.

161 * @param {string} script код для виконання

162 * @param {number} [timeout] ліміт очікування в мс; за замовчуванням `PROBE_TIMEOUT_MS`

163 * @returns {import('node:child_process').SpawnSyncReturns<string>} результат spawnSync

164 */

Medium

Dynamic Require

Package source references dynamic require/import behavior.

src/lib/runtime-probe.mjsView on unpkg · L162

165function spawnProbe(script, timeout = PROBE_TIMEOUT_MS) {

166 const cwd = mkdtempSync(join(tmpdir(), 'n-probe-'))

167 try {

168 return spawnSync('node', ['--input-type=module'], {

169 input: script,

170 encoding: 'utf8',

171 timeout,

172 env: { ...process.env },

173 cwd

174 })

175 } finally {

176 rmSync(cwd, { recursive: true, force: true })

177 }

178}

179

180/**

181 * Пробує експорти модуля у дочірньому процесі й повертає фактичні виходи.

182 * @param {string} absFilePath абсолютний шлях до джерела модуля

Lines 194-234javascript

194

195const probeInputs = ${JSON.stringify(PROBE_INPUTS)}

196const names = ${JSON.stringify(exportedNames)}

197const filePath = ${JSON.stringify(absFilePath)}

198

199let mod

200try {

201 mod = await import(filePath)

src/gen-tests.mjsView file

High

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

src/gen-tests.mjsView on unpkg