Aidez-moi à déterminer si ce dépôt est exposé au risque décrit dans cet avis de sécurité public sur un paquet : [advisory URL]. Menez l’audit en lecture seule, sauf si j’approuve explicitement une mesure corrective. Commencez par préciser : - les paquets concernés et les plages de versions touchées - les sources qui font autorité, en les distinguant des rapports plus généraux - les éléments qui confirmeraient l’exposition du dépôt - les éléments qui permettraient de l’exclure Examinez ensuite : - les manifestes des paquets et les fichiers de verrouillage - les workflows de CI et leurs permissions - les scripts install, build et postinstall - les artefacts tiers intégrés au dépôt, les conteneurs ou les bundles générés, s’ils sont pertinents pour l’audit - les mécanismes susceptibles d’exposer des caches ou des jetons d’accès si l’avis concerne la CI ou la publication de paquets Dans votre compte rendu, indiquez : - le statut de l’exposition au vu des éléments recueillis : confirmée, à vérifier ou exclue - la gravité de l’incident et l’étendue de ses répercussions - les références aux fichiers qui étayent chaque affirmation propre à ce dépôt - les réserves et les prochaines étapes recommandées N’effectuez aucune des actions suivantes sans mon approbation explicite pour l’action concernée : installer des paquets, lancer des scripts de cycle de vie, lancer le build du projet, exécuter du code non fiable, renouveler des identifiants d’accès ou nettoyer des fichiers.