registry / @urbicon-ui/auth / 6.23.0

@urbicon-ui/auth@6.23.0

Authentication for SvelteKit — JWT sessions, passkeys/WebAuthn, notifications and email with zero runtime dependencies

AI Security Review

scanned 2h ago · by lpm-firewall-ai

No confirmed malicious attack surface. Network operations are explicit authentication features, not install- or import-time behavior.

Static reason

One or more suspicious static signals were detected.

Trigger

A consumer explicitly configures and calls the Lettermint transport or Web Push service.

Impact

Sends intended authentication email or notification payloads to configured recipients/endpoints.

Mechanism

Configured email and standards-based Web Push delivery

Rationale

Static inspection shows a normal SvelteKit authentication package with explicit runtime transports and no lifecycle execution or covert collection/exfiltration path. The scanner findings are explained by fixed optional bcrypt compatibility loading, localization text, and user-invoked auth networking.

Evidence

package.jsondist/index.jsdist/server/password.jsdist/server/email/lettermint.jsdist/server/notifications/push.jsdist/server/notifications/push-endpoint.jsdist/server/index.jsdist/client/utils/http.jsdist/client/csrf.js

Network endpoints1

api.lettermint.co/v1

Decision evidence

public snapshot

AI called this Clean at 97.0% confidence as Benign with low false-positive risk.

Evidence for block

`dist/server/password.js` dynamically imports only optional `bcrypt` or `bcryptjs` for legacy hash verification.
`dist/server/email/lettermint.js` and `dist/server/notifications/push.js` make runtime `fetch` calls for configured email and Web Push delivery.

Evidence against

`package.json` has no `preinstall`, `install`, `postinstall`, or `prepare` lifecycle hook.
`dist/index.js` and `dist/server/index.js` are export barrels with no import-time execution.
`dist/server/password.js` uses the dynamic import solely as a bounded fallback over two fixed peer module names.
`dist/server/email/lettermint.js` sends only when its exported transport is explicitly configured and invoked.
`dist/server/notifications/push.js` validates endpoints before delivery; `push-endpoint.js` rejects non-HTTPS, local, private, and link-local literal hosts.
No filesystem-write, subprocess, environment-harvesting, eval, native-binary, or AI-agent-control artifacts were found in `dist`.

Behavioral surface

Source

CryptoDynamicRequireFilesystemNetwork

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 100 file(s), 433 KB of source, external domains: api.lettermint.co, push.test, sanitize-redirect.internal

Source & flagged code

7 flagged

dist/i18n/de.jsView file

Lines 13-94javascript

13 notAuthenticated: 'Bitte melde dich an, um fortzufahren.',

14 forbidden: 'Dazu hast du keine Berechtigung.',

15 invalidCode: 'Ungültiger Code. Bitte versuche es erneut.',

16 no2faChallenge: 'Keine ausstehende Zwei-Faktor-Anfrage.',

17 twoFactorChallengeExpired: 'Die Zwei-Faktor-Anfrage ist abgelaufen. Bitte melde dich erneut an.',

18 twoFactorAlreadyEnabled: 'Die Zwei-Faktor-Authentifizierung ist bereits aktiviert.',

19 twoFactorSetupRequired: 'Starte zuerst die Einrichtung der Zwei-Faktor-Authentifizierung.',

20 totpSecretUnreadable: 'Der gespeicherte Schlüssel konnte nicht gelesen werden. Bitte erneut versuchen.',

21 sessionNotFound: 'Sitzung nicht gefunden.',

22 missingRefreshToken: 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.',

23 invalidRefreshToken: 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.',

24 featureUnavailable: 'Diese Funktion ist nicht verfügbar.',

25 validationError: 'Bitte überprüfe deine Eingabe und versuche es erneut.',

26 rateLimited: 'Zu viele Anfragen. Bitte versuche es später erneut.',

27 serverError: 'Etwas ist schiefgelaufen. Bitte versuche es erneut.',

28 networkError: 'Netzwerkfehler. Bitte prüfe deine Verbindung und versuche es erneut.'

29 },

30 login: {

31 title: 'Anmelden',

32 email: 'E-Mail-Adresse',

33 password: 'Passwort',

Medium

Secret Pattern

Package contains a possible secret pattern.

dist/i18n/de.jsView on unpkg · L33

34 rememberMe: 'Angemeldet bleiben',

35 submit: 'Anmelden',

36 noAccount: 'Noch kein Konto?',

37 register: 'Konto erstellen',

38 forgotPassword: 'Passwort vergessen?',

39 errors: {

40 invalid: 'Ungültige E-Mail oder Passwort'

41 }

42 },

43 register: {

44 title: 'Konto erstellen',

45 name: 'Vollständiger Name',

46 email: 'E-Mail-Adresse',

47 password: 'Passwort',

Medium

Secret Pattern

Hardcoded password in dist/i18n/de.js

dist/i18n/de.jsView on unpkg · L47

48 confirmPassword: 'Passwort bestätigen',

49 submit: 'Konto erstellen',

50 hasAccount: 'Bereits ein Konto?',

51 login: 'Anmelden',

52 requirementsLabel: 'Passwort-Anforderungen',

53 requirements: {

54 minLength: 'Mindestens {n} Zeichen',

55 uppercase: 'Ein Großbuchstabe',

56 lowercase: 'Ein Kleinbuchstabe',

57 digit: 'Eine Ziffer',

58 special: 'Ein Sonderzeichen'

59 },

60 errors: {

61 passwordMismatch: 'Die Passwörter stimmen nicht überein'

62 }

63 },

64 forgotPassword: {

65 title: 'Passwort vergessen',

66 description: 'Gib deine E-Mail-Adresse ein und wir senden dir einen Link zum Zurücksetzen deines Passworts.',

67 email: 'E-Mail-Adresse',

68 submit: 'Link senden',

69 backToLogin: 'Zurück zur Anmeldung',

70 success: 'Falls ein Konto mit dieser E-Mail existiert, haben wir dir einen Link gesendet.'

71 },

72 resetPassword: {

73 title: 'Passwort zurücksetzen',

74 password: 'Neues Passwort',

Medium

Secret Pattern

Hardcoded password in dist/i18n/de.js

dist/i18n/de.jsView on unpkg · L74

75 confirmPassword: 'Neues Passwort bestätigen',

76 submit: 'Passwort zurücksetzen',

77 success: 'Dein Passwort wurde zurückgesetzt. Du kannst dich jetzt anmelden.',

78 errors: {

79 mismatch: 'Die Passwörter stimmen nicht überein.',

80 invalidToken: 'Ungültiger oder abgelaufener Link.'

81 }

82 },

83 verifyEmail: {

84 title: 'E-Mail bestätigen',

85 verifying: 'E-Mail wird verifiziert...',

86 success: 'Deine E-Mail-Adresse wurde bestätigt.',

87 error: 'Ungültiger oder abgelaufener Bestätigungslink.'

88 },

89 emails: {

90 verification: {

91 subject: 'Bestätige deine E-Mail — {appName}',

92 heading: 'Willkommen, {name}!',

93 body: 'Bitte bestätige deine E-Mail-Adresse für {appName}, um die Einrichtung deines Kontos abzuschließen.',

94 cta: 'E-Mail bestätigen',

dist/server/password.jsView file

Lines 65-105javascript

65 if (typeof bunVerify === 'function') {

66 try {

67 return await bunVerify(password, hash);

68 }

69 catch {

70 return false;

dist/i18n/en.jsView file

Lines 13-94javascript

13 notAuthenticated: 'Please sign in to continue.',

14 forbidden: "You don't have permission to do that.",

15 invalidCode: 'Invalid code. Please try again.',

16 no2faChallenge: 'No pending two-factor challenge.',

17 twoFactorChallengeExpired: 'Two-factor challenge expired. Please sign in again.',

18 twoFactorAlreadyEnabled

Source & flagged code

7 flagged · loading source

dist/i18n/de.jsView file

33patternName = generic_password severity = medium line = 33 matchedText = password...rt',

Medium

Secret Pattern

Package contains a possible secret pattern.

dist/i18n/de.jsView on unpkg · L33

47patternName = generic_password severity = medium line = 47 matchedText = password...rt',

Medium

Secret Pattern

Hardcoded password in dist/i18n/de.js

dist/i18n/de.jsView on unpkg · L47

74patternName = generic_password severity = medium line = 74 matchedText = password...rt',

Medium

Secret Pattern

Hardcoded password in dist/i18n/de.js

dist/i18n/de.jsView on unpkg · L74

dist/server/password.jsView file

85try { L86: const mod = (await import(/* @vite-ignore */ specifier)); L87: return (password, hash) => mod.compare(password, hash);

Medium

Dynamic Require

Package source references dynamic require/import behavior.

dist/server/password.jsView on unpkg · L85

dist/i18n/en.jsView file

33patternName = generic_password severity = medium line = 33 matchedText = password...rd',

Medium

Secret Pattern

Hardcoded password in dist/i18n/en.js

dist/i18n/en.jsView on unpkg · L33

47patternName = generic_password severity = medium line = 47 matchedText = password...rd',

Medium

Secret Pattern

Hardcoded password in dist/i18n/en.js

dist/i18n/en.jsView on unpkg · L47

74patternName = generic_password severity = medium line = 74 matchedText = password...rd',

Medium

Secret Pattern

Hardcoded password in dist/i18n/en.js

dist/i18n/en.jsView on unpkg · L74

Findings

8 Medium4 Low

MediumSecret Patterndist/i18n/de.js

MediumDynamic Requiredist/server/password.js

MediumNetwork

MediumSecret Patterndist/i18n/de.js

MediumSecret Patterndist/i18n/en.js

LowScripts Present

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings

Source & flagged code

7 flagged

dist/i18n/de.jsView file

Lines 13-94javascript

13 notAuthenticated: 'Bitte melde dich an, um fortzufahren.',

14 forbidden: 'Dazu hast du keine Berechtigung.',

15 invalidCode: 'Ungültiger Code. Bitte versuche es erneut.',

16 no2faChallenge: 'Keine ausstehende Zwei-Faktor-Anfrage.',

17 twoFactorChallengeExpired: 'Die Zwei-Faktor-Anfrage ist abgelaufen. Bitte melde dich erneut an.',

18 twoFactorAlreadyEnabled: 'Die Zwei-Faktor-Authentifizierung ist bereits aktiviert.',

19 twoFactorSetupRequired: 'Starte zuerst die Einrichtung der Zwei-Faktor-Authentifizierung.',

20 totpSecretUnreadable: 'Der gespeicherte Schlüssel konnte nicht gelesen werden. Bitte erneut versuchen.',

21 sessionNotFound: 'Sitzung nicht gefunden.',

22 missingRefreshToken: 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.',

23 invalidRefreshToken: 'Deine Sitzung ist abgelaufen. Bitte melde dich erneut an.',

24 featureUnavailable: 'Diese Funktion ist nicht verfügbar.',

25 validationError: 'Bitte überprüfe deine Eingabe und versuche es erneut.',

26 rateLimited: 'Zu viele Anfragen. Bitte versuche es später erneut.',

27 serverError: 'Etwas ist schiefgelaufen. Bitte versuche es erneut.',

28 networkError: 'Netzwerkfehler. Bitte prüfe deine Verbindung und versuche es erneut.'

29 },

30 login: {

31 title: 'Anmelden',

32 email: 'E-Mail-Adresse',

33 password: 'Passwort',

Medium

Secret Pattern

Package contains a possible secret pattern.

dist/i18n/de.jsView on unpkg · L33

34 rememberMe: 'Angemeldet bleiben',

35 submit: 'Anmelden',

36 noAccount: 'Noch kein Konto?',

37 register: 'Konto erstellen',

38 forgotPassword: 'Passwort vergessen?',

39 errors: {

40 invalid: 'Ungültige E-Mail oder Passwort'

41 }

42 },

43 register: {

44 title: 'Konto erstellen',

45 name: 'Vollständiger Name',

46 email: 'E-Mail-Adresse',

47 password: 'Passwort',

Medium

Secret Pattern

Hardcoded password in dist/i18n/de.js

dist/i18n/de.jsView on unpkg · L47

48 confirmPassword: 'Passwort bestätigen',

49 submit: 'Konto erstellen',

50 hasAccount: 'Bereits ein Konto?',

51 login: 'Anmelden',

52 requirementsLabel: 'Passwort-Anforderungen',

53 requirements: {

54 minLength: 'Mindestens {n} Zeichen',

55 uppercase: 'Ein Großbuchstabe',

56 lowercase: 'Ein Kleinbuchstabe',

57 digit: 'Eine Ziffer',

58 special: 'Ein Sonderzeichen'

59 },

60 errors: {

61 passwordMismatch: 'Die Passwörter stimmen nicht überein'

62 }

63 },

64 forgotPassword: {

65 title: 'Passwort vergessen',

66 description: 'Gib deine E-Mail-Adresse ein und wir senden dir einen Link zum Zurücksetzen deines Passworts.',

67 email: 'E-Mail-Adresse',

68 submit: 'Link senden',

69 backToLogin: 'Zurück zur Anmeldung',

70 success: 'Falls ein Konto mit dieser E-Mail existiert, haben wir dir einen Link gesendet.'

71 },

72 resetPassword: {

73 title: 'Passwort zurücksetzen',

74 password: 'Neues Passwort',

Medium

Secret Pattern

Hardcoded password in dist/i18n/de.js

dist/i18n/de.jsView on unpkg · L74

75 confirmPassword: 'Neues Passwort bestätigen',

76 submit: 'Passwort zurücksetzen',

77 success: 'Dein Passwort wurde zurückgesetzt. Du kannst dich jetzt anmelden.',

78 errors: {

79 mismatch: 'Die Passwörter stimmen nicht überein.',

80 invalidToken: 'Ungültiger oder abgelaufener Link.'

81 }

82 },

83 verifyEmail: {

84 title: 'E-Mail bestätigen',

85 verifying: 'E-Mail wird verifiziert...',

86 success: 'Deine E-Mail-Adresse wurde bestätigt.',

87 error: 'Ungültiger oder abgelaufener Bestätigungslink.'

88 },

89 emails: {

90 verification: {

91 subject: 'Bestätige deine E-Mail — {appName}',

92 heading: 'Willkommen, {name}!',

93 body: 'Bitte bestätige deine E-Mail-Adresse für {appName}, um die Einrichtung deines Kontos abzuschließen.',

94 cta: 'E-Mail bestätigen',

dist/server/password.jsView file

Lines 65-105javascript

65 if (typeof bunVerify === 'function') {

66 try {

67 return await bunVerify(password, hash);

68 }

69 catch {

70 return false;

dist/i18n/en.jsView file

Lines 13-94javascript

13 notAuthenticated: 'Please sign in to continue.',

14 forbidden: "You don't have permission to do that.",

15 invalidCode: 'Invalid code. Please try again.',

16 no2faChallenge: 'No pending two-factor challenge.',

17 twoFactorChallengeExpired: 'Two-factor challenge expired. Please sign in again.',

18 twoFactorAlreadyEnabled