Patch vulnerable PDF cryptography dependency

2026-10-14 22:22:34 +03:00
parent 66138eb3ea
commit 0919f34b14
2 changed files with 8 additions and 0 deletions
@@ -129,3 +129,9 @@
 - Проверены два экспорта: короткий с четырьмя пустыми неделями и длинный с семью неделями. Оба содержат одну страницу шириной 29,7 см; высота соответственно 493 и 2019 pt. Текст находится внутри границ страницы, после последней таблицы остаётся обычный нижний отступ.
 - В длинном экспорте сохранены все 36 гиперссылок «Видео» с исходными адресами и 12 изображений камеры. Проверка выполнена по структуре, тексту и координатам PDF без скриншотов. Собственные тестовые данные удалены.
 - Сервер не затрагивался; изменений БД и миграций нет.
+
+## Исправление зависимости PDF — 14 октября 2026
+
+- Для транзитивной зависимости PDFsharp добавлена явная ссылка System.Security.Cryptography.Pkcs 8.0.2 вместо 8.0.1. Это исправленная версия для GHSA-2fmv-rv2c-59x7 и GHSA-846f-f764-76mx; аудит NuGet не отключён.
+- Выполнены восстановление пакетов без кеша, сборка без предупреждений, 16 тестов и локальная Docker-сборка. Аудит прямых и транзитивных пакетов Web не обнаружил известных уязвимостей в текущем источнике NuGet.
+- После обновления зависимости экспорт из локального Docker снова проверен: одна страница, семь недель, 36 ссылок «Видео», 12 камер; текст внутри страницы. Скриншоты не выполнялись, собственные тестовые записи удалены.
@@ -9,6 +9,8 @@
    <PackageReference Include="Microsoft.AspNetCore.Identity.EntityFrameworkCore" Version="10.0.8" />
    <PackageReference Include="Npgsql.EntityFrameworkCore.PostgreSQL" Version="10.0.0" />
    <PackageReference Include="PDFsharp-MigraDoc" Version="6.2.4" />
+    <!-- PDFsharp requests 8.0.1; pin its security-patched compatible dependency. -->
+    <PackageReference Include="System.Security.Cryptography.Pkcs" Version="8.0.2" />
  </ItemGroup>

  <PropertyGroup>