commitgate@0.9.6: Suspicious npm security report (Warn) | LPM Firewall

Loading npm security reports…

commitgate@0.9.6: Suspicious npm security report (Warn) | LPM Firewall

Source & flagged code

5 flagged · loading source

bin/init.tsView file

•matchType = previous_version_dangerous_delta matchedPackage = commitgate@0.9.4 matchedIdentity = npm:Y29tbWl0Z2F0ZQ:0.9.4 similarity = 0.882 summary = stored previous version shares package body but lacks this dangerous source file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

bin/init.tsView on unpkg

32} from 'node:fs' L33: import { execFileSync } from 'node:child_process' L34: import { createHash } from 'node:crypto'

High

Child Process

Package source references child process execution.

bin/init.tsView on unpkg · L32

1289* L1290: * 공백이 든 경로를 그대로 인쇄하면 `cd C:\Work\My Repo`가 PowerShell에서 인자 두 개로 쪼개지고, L1291: * `git stash push -u -- notes today.txt`는 pathspec 두 개가 되어 그 파일이 dirty로 남는다.

High

Shell

Package source references shell execution.

bin/init.tsView on unpkg · L1289

212* L213: * 🔴 **값의 형태를 검증하지 않는다.** `npm install -D <packed tarball>`은 `"commitgate": "file:../x.tgz"`를 쓴다 — L214: * semver range가 아니다. `link:`·`workspace:`·git URL도 정당한 설치 형태다. 값을 range로 검증하면 ... L226: L227: /** 대상 package.json에 주입할 devDeps(워크플로 실행 전제). cross-spawn = 복사된 adapters.ts의 안전 spawn(P1) 런타임 의존. */ L228: export const REQ_DEV_DEPS: Record<string, string> = {

High

Runtime Package Install

Package source invokes a package manager install command at runtime.

bin/init.tsView on unpkg · L212

bin/commitgate.mjsView file

35L36: const mod = await import(pathToFileURL(join(binDir, decision.entry)).href) L37: // runCli = 예외를 친절한 한 줄 메시지 + exit 1로 변환하는 CLI 경계(스택트레이스 노출 방지).

Medium

Dynamic Require

Package source references dynamic require/import behavior.

bin/commitgate.mjsView on unpkg · L35

Source & flagged code

5 flagged

bin/init.tsView file

Lines 12-52typescript

12 * `commitgateDeclared`(D14 — `devDependencies.commitgate` 키 없으면 선행 설치 안내). 둘 다 preflight = 무쓰기 실패.

13 * 3. `KIT_COPY_RELPATHS`(스키마 2종 + review-persona.md) 복사(기존 파일은 --force 없으면 스킵).

14 * **`scripts/req/**` 는 복사하지 않는다**(R3 — 패키지에서 실행).

15 * 4. `req.config.json` 시드(부재 시): 감지한 packageManager + handoffPath:null(프로젝트별 값은 코어 DEFAULTS가 아니라 config에서 흡수)

16 * 5. 대상 `package.json`에 `req:* = commitgate <verb>` 주입(기존 키 미덮어씀). **devDeps는 주입하지 않는다**(R3).

17 * 6. `AGENTS.md` 부재 시 템플릿 생성(있으면 스킵 — Codex 계약 보존)

18 * 7. 에이전트 진입점(.claude/skills·.claude/commands·.cursor/rules) 복사 + `CLAUDE.md` 부재 시 생성 (--no-agent-entrypoints로 생략)

19 *

20 * 코어 승인 바인딩·staged tree 검증은 건드리지 않는다. 프로젝트 차이는 req.config.json에서만 흡수.

21 */

22import {

23 existsSync,

24 readFileSync,

25 writeFileSync,

26 mkdirSync,

27 readdirSync,

28 statSync,

29 lstatSync,

30 copyFileSync,

31 realpathSync,

32} from 'node:fs'

33import { execFileSync } from 'node:child_process'

34import { createHash } from 'node:crypto'

High

Child Process

Package source references child process execution.

bin/init.tsView on unpkg · L32

35import { resolve, join, dirname, relative, isAbsolute } from 'node:path'

36import { fileURLToPath, pathToFileURL } from 'node:url'

37import { loadConfig, stripBom, DEFAULT_REVIEW_PERSONA_RELPATH, type PackageManager } from '../scripts/req/lib/config'

38import { createGitAdapter, type GitRunner } from '../scripts/req/lib/adapters'

39import { parseStatusZ, entryPaths, STATUS_Z_ARGS, type StatusEntry } from '../scripts/req/lib/porcelain'

40import * as semver from 'semver'

41

42/** 이 패키지 루트(bin/ 기준 1단계 위). 복사 원본. */

43export const PACKAGE_ROOT = resolve(dirname(fileURLToPath(import.meta.url)), '..')

44

45/** kit 소스 디렉터리(패키지-상대 = 대상-상대). copyInto가 이 레이아웃을 그대로 재현. */

46export const KIT_SOURCE_DIR_REL = 'scripts/req'

47

48/**

49 * init이 **실제로 복사하는** 스키마 경로(패키지-상대 = 대상-상대). ⚠️ `req.config.json`의 `ticketRoot`/`schemaPath`와 무관하게

50 * 언제나 리터럴 `workflow/` 아래다 — `copyInto`가 `relative(PACKAGE_ROOT, src)`로 상대경로를 재현하기 때문.

51 * runInit(복사)과 uninstall planner(제거 후보)가 이 상수를 **공유**해야 드리프트가 없다(REQ-2026-007 design R1 P2 / D3b).

52 */

Lines 192-232typescript

192 * **Stage A 서명 감지(D19 — REQ-2026-014 R7)**. 감지된 근거를 반환(없으면 `null`).

193 *

194 * 왜

Lines 1269-1309typescript

1269 workflowGitignoreCreated,

1270 workflowGitignoreUserDiffers,

1271 workflowGitignorePolicyAtRisk,

1272 }

1273}

1274

1275/**

1276 * 설치 후 `git add` 대상. 산출물 전수에서 **무시되고 untracked인 것**만 뺀다 — `git add <ignored>`는 fatal이다.

1277 * `planArtifactPaths`(preflight)와 같은 목록을 소비하므로 두 축이 갈라질 수 없다(DEC-011-9).

1278 */

1279export function stageList(

•matchType = previous_version_dangerous_delta matchedPackage = commitgate@0.9.4 matchedIdentity = npm:Y29tbWl0Z2F0ZQ:0.9.4 similarity = 0.882 summary = stored previous version shares package body but lacks this dangerous source file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version; route for source-aware review.

bin/init.tsView on unpkg

bin/commitgate.mjsView file

Lines 15-39javascript

15 * - argv 없음 **또는 첫 인자가 `-` 옵션**(`--dry-run`·`--dir`·`--strict`·`--force`·`--no-agent-entrypoints`·`-h`) → **init에 argv 전체 전달**(하위호환).

16