aurora-demo-lockfile

デモターゲット for AURORA — mlbrilliance/uipath-for-coding-agents における UiPath for Coding Agents チャレンジへの提出物です。

このリポジトリは意図的に3つの脆弱なロックファイルを含んでおり、AURORAのMaestroプロセス（OssSupplyChainDefender）が検出、トリアージ、修復する対象を持っています。実際のコードでこれらの依存関係を使用しないでください。

ロックファイル	パッケージ	固定バージョン	アドバイザリ
`package-lock.json`	`lodash`	`4.17.10`	CVE-2019-10744 — プロトタイプ汚染
`package-lock.json`	`minimist`	`1.2.0`	CVE-2020-7598 — プロトタイプ汚染
`requirements.txt`	`requests`	`2.20.0`	CVE-2018-18074 — リダイレクト時のAuthorizationヘッダー
`requirements.txt`	`urllib3`	`1.24.1`	CVE-2019-11324 — CRLFインジェクション
`go.sum`	`github.com/dgrijalva/jwt-go`	`v3.2.0+incompatible`	CVE-2020-26160 — audienceチェックの欠如

AURORAのMaestro OssSupplyChainDefender インスタンスが実行されると：

ResolveLockfiles (C# Coded Workflow) はGitHub APIを介してこのリポジトリを列挙し、上記の3つのロックファイルを取得します。
VulnLookup (LangGraph Coded Agent) は各ピンをNVD/OSV/GitHub Advisory Databaseとクロスリファレンスします。
DMN Severity Matrix はCVSSスコアに基づいて結果をルーティングします：
- Critical (≥ 9.0) → Critical sub-process → HITL Action Center Form Task → パッチPR
- High (7.0-8.9) → OpenAutoPR Coded Workflowによる自動PR
- Medium / Low → ダイジェストのみ
OpenAutoPR はこのリポジトリに対して実際のPRを開き、脆弱なピンをバンプします。

ライセンス

MIT.