Как устранить уязвимость npm с помощью npm в качестве зависимого пакета? - PullRequest
Новая
       37

Как устранить уязвимость npm с помощью npm в качестве зависимого пакета?

1 голос
/ 26 июня 2019

Итак, я запускаю npm audit, и все уязвимости связаны с некоторой зависимостью в npm, в частности node-gyp, которая использует уязвимую версию tar.Обратите внимание, что в моем package.json. 

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary File Overwrite                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tar                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.2.2 <3.0.0 || >=4.4.2                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ npm                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ npm > npm-lifecycle > node-gyp > tar                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/803                             │
└───────────────┴──────────────────────────────────────────────────────────────┘

у меня нет node-gyp. Я попытался обновиться до последней версии npm, но все равно получаю тот же отчет об аудите.Это довольно вложенный.Как мне решить это?

...