AutoMapper — fork 6TM

Ce dépôt contient le fork 6TM d’AutoMapper 14. Il conserve l’API et l’identifiant NuGet AutoMapper afin de rester compatible avec les applications et les packages internes qui dépendent de la version 14.

Pourquoi ce fork ?

À partir d’AutoMapper 15, le projet officiel demande une licence commerciale. Les versions antérieures à la 15 restent couvertes par leur licence open source d’origine.

Le fork 6TM part donc exclusivement du tag officiel v14.0.0, sous licence MIT. Il a pour objectifs de :

• maintenir les applications 6TM actuellement basées sur AutoMapper 14 ;
• fournir les correctifs de sécurité indispensables ;
• conserver la compatibilité avec les dépendances NuGet existantes ;
• distribuer les versions maintenues sur le registre NuGet privé de 6TM.

Aucun code provenant des versions 15 ou suivantes ne doit être intégré sans analyse préalable de sa licence.

Versions

La version 14.0.1 corrige notamment :

• CVE-2026-32933 / GHSA-rvv3-g6hj-g44x : déni de service par récursion incontrôlée lors du mapping de graphes très profonds ;
• CVE-2022-30184 / GHSA-3885-8gqc-3wpf : ancien client nuget.exe susceptible de divulguer une clé API pendant le build.

La profondeur des graphes récursifs détectés est limitée à 64 par défaut. Une limite définie explicitement avec MaxDepth reste prioritaire.

État du projet

• Branche de maintenance : master
• Package : AutoMapper
• Framework de la bibliothèque : .NET 8
• Framework des tests : .NET 9
• Licence : MIT
• Registre cible : https://nuget.6tm.com/v3/index.json

La préparation de la publication est décrite dans RAF-PUBLICATION-NUGET.md et la procédure opératoire dans PUBLICATION-NUGET.md. Tant que cette checklist n’est pas terminée, la présence du tag v14.0.1 ne signifie pas que le package est disponible sur le registre privé.

Compiler et tester

Le SDK .NET 9 est nécessaire pour compiler toute la solution et exécuter les tests.

dotnet restore AutoMapper.sln
dotnet test src/UnitTests/AutoMapper.UnitTests.csproj -c Release
dotnet pack src/AutoMapper/AutoMapper.csproj -c Release -o artifacts

La suite de validation de v14.0.1 contient 1 185 tests unitaires, dont deux tests spécifiques au contrôle de profondeur des graphes récursifs.

Utiliser le package 6TM

Après sa publication sur le registre privé :

dotnet add package AutoMapper \
  --version 14.0.1 \
  --source https://nuget.6tm.com/v3/index.json

Les projets consommateurs devront utiliser packageSourceMapping afin que le package AutoMapper provienne uniquement du registre 6TM. Les autres dépendances pourront continuer à être restaurées depuis NuGet.org.

Les espaces de noms et l’assembly restent nommés AutoMapper. La migration depuis 14.0.0 ne doit donc nécessiter aucun changement du code applicatif.

Maintenance

Pour synchroniser ou examiner la base open source :

git fetch upstream

Les correctifs du fork doivent :

1. être développés sur la base MIT de la version 14 ;
2. être accompagnés de tests de non-régression ;
3. passer l’audit des dépendances NuGet ;
4. recevoir une nouvelle version immuable ;
5. être publiés uniquement depuis un tag validé.

Une version NuGet déjà publiée ne doit jamais être remplacée par un contenu différent.

Licence et attribution

Ce fork reste distribué sous la licence MIT. Le copyright et les attributions du projet AutoMapper d’origine sont conservés.

AutoMapper a été créé par Jimmy Bogard et ses contributeurs. Ce dépôt est un fork maintenu par 6TM et ne constitue pas une distribution officielle du projet AutoMapper actuel.