Aidez-moi à auditer ce dépôt pour déterminer s’il est exposé à cet avis de sécurité public concernant un package : [advisory URL]. N’effectuez que des opérations en lecture seule, sauf si j’approuve explicitement une étape de remédiation. Commencez par résumer : - les packages concernés et les plages de versions - la distinction entre les sources faisant autorité et les signalements plus généraux - les éléments qui prouveraient que ce dépôt est exposé - les éléments qui permettraient d’exclure une telle exposition Inspectez ensuite : - les manifestes de packages et les fichiers de verrouillage - les flux de travail CI et leurs autorisations - les scripts install, build et postinstall - les artefacts intégrés au dépôt, les conteneurs ou les bundles générés, le cas échéant - les vecteurs d’exposition des caches ou des tokens si l’avis concerne la CI ou la publication Fournissez : - le niveau de preuve : exposition confirmée, à vérifier ou exclue - des remarques sur la gravité et l’étendue de l’impact - les références de fichiers étayant chaque affirmation propre à ce dépôt - les réserves et les prochaines étapes recommandées N’installez aucun package, n’exécutez aucun script de cycle de vie, ne lancez pas le build du projet, n’exécutez aucun code non fiable, ne procédez à aucune rotation d’identifiants d’accès ni à aucun nettoyage de fichiers, à moins que je n’approuve explicitement l’étape concernée.