aurora-demo-lockfile

供 AURORA 使用的演示目标 —— 提交至 mlbrilliance/uipath-for-coding-agents 的 UiPath for Coding Agents 挑战赛参赛作品。

此仓库有意包含三个存在漏洞的锁文件，以便 AURORA 的 Maestro 流程（OssSupplyChainDefender）有可检测、分类及修复的目标。请勿在实际代码中使用其中任何依赖项。

锁文件	包	固定版本	安全公告
`package-lock.json`	`lodash`	`4.17.10`	CVE-2019-10744 — 原型污染
`package-lock.json`	`minimist`	`1.2.0`	CVE-2020-7598 — 原型污染
`requirements.txt`	`requests`	`2.20.0`	CVE-2018-18074 — 重定向时泄露 Authorization 请求头
`requirements.txt`	`urllib3`	`1.24.1`	CVE-2019-11324 — CRLF 注入
`go.sum`	`github.com/dgrijalva/jwt-go`	`v3.2.0+incompatible`	CVE-2020-26160 — 缺少 audience 校验

当 AURORA 的 Maestro OssSupplyChainDefender 实例运行时：

ResolveLockfiles（C# 编码工作流）通过 GitHub API 枚举此仓库，并获取上述三个锁文件。
VulnLookup（LangGraph 编码代理）将每个固定版本与 NVD / OSV / GitHub 安全公告数据库进行交叉对照。
DMN 严重性矩阵 根据 CVSS 分数对发现结果进行路由：
- 严重（≥ 9.0）→ 严重子流程 → HITL 行动中心表单任务 → 补丁 PR
- 高危（7.0-8.9）→ 通过 OpenAutoPR 编码工作流自动创建 PR
- 中危 / 低危 → 仅生成摘要
OpenAutoPR 会针对此仓库打开一个真实的 PR，以升级存在漏洞的固定版本。

许可证

MIT.