Avash v0.13.2

Avash 0.13.2

Sécurité

• Une clé d'hôte apprise ne se perd plus quand on en oublie une autre au même
  moment. Oublier une clé lisait known_hosts, le filtrait puis le
  remplaçait : une clé apprise entre-temps (premier contact dans un autre
  onglet) disparaissait. Comme le premier contact mémorise sans rien demander,
  l'hôte redevenait inconnu, et une interception à la connexion suivante serait
  passée inaperçue. L'apprentissage et l'oubli prennent désormais le même
  verrou. Le test qui fait courir les deux perdait 64 à 81 clés sur 150 ; il
  n'en perd plus aucune. C'était aussi la cause du test d'intégration instable
  un_rebond_a_cle_changee_garde_le_marqueur_sous_le_format_alterne, dont les
  écritures passent maintenant par le même verrou.
• rustls 0.23.45 (RUSTSEC-2026-0285 : messages de poignée de main TLS 1.3
  acceptés d'un niveau de chiffrement à l'autre), dans l'application, où il
  sert à la mise à jour automatique, et dans le processus de bureau distant.
• cryptoki 0.12.1 dans le processus de bureau distant (RUSTSEC-2026-0286 :
  lecture hors limites en décodant CKA_ALLOWED_MECHANISMS d'un jeton PKCS#11).
• Dépendances de développement du front et de la suite bout en bout remontées
  (npm audit fix). Reste braces (GHSA-vfj7-8cjw-p6xm), sans aucune version
  corrigée, qui n'arrive que par stylelint, mocha et chokidar, jamais livrés :
  il est accepté et justifié dans scripts/npm-audit-acceptes.txt, jumeau de
  .cargo/audit.toml. scripts/npm-audit.sh n'écarte un paquet que s'il n'est
  vulnérable que par des avis acceptés, propagation comprise ; un autre avis
  sur le même chemin compte toujours (garde étendue).

Validation

• gitleaks 8.24.3 → 8.30.1 dans les audits de sécurité et de publication : la
  8.24.3 n'appliquait pas l'allowlist au jeton de test du processus de bureau
  distant et rougissait chaque passage hebdomadaire depuis le 14 septembre.
• Clippy de Rust 1.99 (assert_is_empty) : les 20 assertions de vacuité des
  tests comparent désormais à une liste vide, pour que l'échec affiche le
  contenu inattendu.
• Le test de la langue du bouton de confirmation vide le focus différé (30 ms)
  d'askConfirm avant de finir : sur un exécuteur de CI, jsdom pouvait être
  démonté avant, et le minuteur levait « document is not defined » (vu sur la
  PR Dependabot #51).
• codeql-action 4.37.9 → 4.38.2, ses trois étapes ensemble (init,
  analyze, upload-sarif) : Dependabot les proposait séparément (#37, #39,
  #40), et init et analyze à des versions différentes faisaient échouer
  CodeQL.

---

Vérifier un fichier téléchargé : sha256sum -c SHA256SUMS depuis le dossier de téléchargement, et gh attestation verify <fichier> --repo AdrienAvalon/avash pour sa provenance. La nomenclature logicielle (SBOM, SPDX) est jointe et attestée elle aussi. Mise à jour automatique depuis une version installée : pastille de version, « vérifier les mises à jour ».

What's Changed

• fix(securite): rustls et cryptoki, audits npm, gitleaks 8.30.1, Clippy 1.99 by @AdrienAvalon in #53
• build(deps): Bump taiki-e/install-action from 2.87.8 to 2.87.23 by @dependabot[bot] in #34
• build(deps): Bump anthropics/claude-code-action from 1.0.217 to 1.0.241 by @dependabot[bot] in #38
• build(deps): Bump the sidecar-mineur group across 1 directory with 3 updates by @dependabot[bot] in #54
• build(deps): Bump the front-mineur group across 1 directory with 12 updates by @dependabot[bot] in #55
• build(deps): Bump nix from 0.26.4 to 0.31.3 by @dependabot[bot] in #35
• build(deps-dev): Bump @wdio/spec-reporter from 9.31.2 to 9.32.0 in /e2e by @dependabot[bot] in #46
• build(deps-dev): Bump @wdio/cli from 9.31.6 to 9.32.0 in /e2e by @dependabot[bot] in #47
• build(deps): codeql-action 4.38.2, ses trois étapes ensemble by @AdrienAvalon in #57
• build(deps-dev): Bump @wdio/local-runner from 9.31.6 to 9.32.0 in /e2e by @dependabot[bot] in #49
• fix(ssh): une clé d'hôte apprise ne se perd plus pendant un oubli by @AdrienAvalon in #58

Full Changelog: v0.13.1...v0.13.2