Загрязнение прототипа - npm уязвимость не может быть исправлена?

Question

Я запускаю новый реактивный проект, и я только что установил самый базовый пакет c (npx create-Reaction-app) без чего-либо еще. Когда я запускаю аудит, я получаю следующую низкую уязвимость:

Я пробовал Google и искал способ исправить это, я безуспешно переустанавливал пакет yargs-parser и попытался переустановить проект несколько раз.

Любая помощь будет принята с благодарностью.

Спасибо!

Answer 1

Сейчас нет немедленного решения. yargs-parser имеет серьезные изменения в версиях, которые были выпущены после того, как в react-scripts. Мы ожидаем обновления react-scripts, чтобы устранить это предупреждение.

Стоит отметить, что это не «серьезная» уязвимость и должна затрагивать только среды разработки. Это исправлено в последней версии yargs-parser, но я не потерял бы сон из-за уязвимости с низким риском. Они случаются время от времени, и сообщество, как правило, довольно хорошо их исправляет.

Вы можете следить за ходом этой проблемы или (в зависимости от вашего уровня квалификации) внести свой вклад в исправление здесь: https://github.com/facebook/create-react-app/issues/8529

Answer 2

Нам нужно добавить это тоже:

"scripts": {"preinstall": "npx npm -force-разрешения"}

Затем на ваш пакет. json добавьте:

"olutions ": {" yargs-parser ":" ^ 13.1.2 "}

Наконец, запустите ниже общих на вашем терминал:

rm -r node_modules

npm установить

Answer 3

1. Попробуйте npm audit fix
2. Если шаг 1 не работает, следуйте по пути, где уязвимость. Для вашего случая путь

    (your main project folder)/node_modules/react-scripts/webpack-dev-server/yargs/yargs- 
     parser
   

   . Вы должны найти там файл пакета. json. откройте его и найдите версию yargs-parser. Если версия не соответствует версии, указанной в отчете об аудите [проверьте исправление в отчете об аудите. Это рекомендуемая версия], затем попробуйте обновить yargs-parser из этого каталога, выполнив команду npm i yargs-parser из этого каталога. Затем вернитесь в основную папку вашего проекта и снова попробуйте команду npm install (иногда работают без установки npm снова. перед запуском npm install запустите npm audit, чтобы проверить, решено ли это. Если решено, нет необходимости снова запускать npm install).

Проверьте версии уязвимости yargs-parser: https://snyk.io/vuln/npm: yargs-анализатор