Express 5.2.1 loading results on Node.js, Bun and Deno

[siddiksawani]

I maintain CompatLab, an open-source tool that checks how published npm packages load across pinned JavaScript runtimes.

I ran express@5.2.1 on Linux amd64/glibc with Node.js 24.21.0, Node.js 26.10.0, Bun 1.4.2 and Deno 2.9.7. Both the ESM import and CommonJS require checks passed on each profile: eight passed loading operations, with no explicit executable subpaths selected by the planner.

The versioned report includes the dependency lock, exact runtime image identities and observed results. Each runtime read the same prepared dependency snapshot. Installation scripts and runtime networking were disabled.

These checks cover resolving and evaluating the package. They do not exercise HTTP handling, middleware, your upstream test suite or application behavior, and they are not an Express support guarantee.

Would this kind of evidence be useful alongside your runtime-support notes? If so, a link labelled “Express 5.2.1 loading checks on Linux” would keep the scope clear. I'd also appreciate feedback on whether a loading-only report is useful to the Express community and which gaps matter most.

[aarrtH8]

(à publier sur la discussion du dépôt)

Objet : Retour d'analyse statique sur express — 0 constat(s)

Bonjour,

J'ai passé votre dépôt à une analyse statique. Résultat mesuré : 0 constat(s) sur 14 fichier(s) et 3 266 ligne(s).

Mon analyse n'a relevé aucun constat sur les règles que je vérifie — c'est un résultat en soi, et je vous le dis plutôt que d'inventer un problème.

Je précise ce que je ne fais pas, parce que ça compte plus que ce que je fais : je n'ai
pas exécuté votre code (c'est une analyse statique de motifs), je n'affirme pas qu'il y a
une vulnérabilité — un constat n'est pas une faille confirmée — et je ne modifie rien chez vous.

Je vous laisse le rapport si vous voulez regarder : rapport d'exemple
et l'outil est public, vous pouvez reproduire ce résultat vous-même :

node audit-sarif.mjs https://github.com/expressjs/express --out audit.sarif

Si ce retour vous est utile et que vous voulez un examen plus approfondi, je le fais sur
devis. Sinon, ignorez simplement ce message : je ne relancerai pas.

Arthur Grossi EI — audit de code statique