NodeJS “npm审计修复”将安装过时的软件包

f45qwnt8  于 2023-01-12  发布在  Node.js
关注(0)|答案(1)|浏览(135)

当我运行npm audit时,它会告诉我以下关于漏洞的信息:

react-dev-utils  0.4.0 - 12.0.0-next.60
Severity: critical
Improper Neutralization of Special Elements used in an OS Command. - https://github.com/advisories/GHSA-5q6m-3h65-w53x
Depends on vulnerable versions of browserslist
Depends on vulnerable versions of fork-ts-checker-webpack-plugin
Depends on vulnerable versions of globby
Depends on vulnerable versions of immer
Depends on vulnerable versions of immer
Depends on vulnerable versions of inquirer
Depends on vulnerable versions of strip-ansi
fix available via `npm audit fix --force`
Will install @sambego/storybook-state@1.3.6, which is a breaking change
node_modules/@sambego/storybook-state/node_modules/react-dev-utils
node_modules/react-dev-utils

它说npm fix将安装
--〉@桑贝戈/故事书州@1.3.6,
但在我的软件包json里
--〉“@桑贝戈/故事书州”:“^2.0.1”,
所以我的包比推荐的包要新得多。

我将接受任何告诉我是否以及为什么可以忽略此严重npm漏洞的答案。

mspsb9vt

mspsb9vt1#

这也发生在我身上。如果你看到下面的图片,修复建议安装一个过时版本的testcafe。

codelyzer也发生了同样的事情,它抱怨Angular 版本,并建议安装codelyzer@0.0.28,而不是项目中使用的版本6.x.x

相关问题