Un override de dépendance qui ne corrigeait rien
A plain npm `overrides` block in package.json is silently ignored by pnpm, which reads `pnpm.overrides`, so multer and ws stayed installed at vulnerable versions.
Ça disait que ça marchait
Vert, 200, enregistré, « déjà géré » — et faux. Aucune erreur sur laquelle s'appuyer.
package.json avait un bloc overrides épinglant multer et ws à des versions patchées, ce qui se lit comme déjà géré. pnpm audit --audit-level=high n'était pas d'accord : les deux étaient installés à leurs anciennes versions vulnérables.
overrides est propre à npm. pnpm utilise pnpm.overrides et ignore silencieusement la clé simple de haut niveau — aucun avertissement, aucune erreur. Ce projet est uniquement pnpm, donc l'override n'avait jamais rien fait, peut-être depuis le jour où il a été écrit. Déplacer les deux entrées a fait passer l'audit de 6 findings de gravité haute à 0.
Vérifie qu'un override a réellement pris effet en contrôlant la version installée, pas en faisant confiance à une clé plausible en apparence, surtout quand le format diffère entre gestionnaires de paquets sans rien pour signaler l'inadéquation.