hoek 节点模块的 Github 潜在安全漏洞错误

Question

今天 github 在我的 github 存储库中显示以下错误:

We found a potential security vulnerability in one of your dependencies. A dependency defined in ./package-lock.json has known security vulnerabilities and should be updated.

点击 Review vulnerable dependency 按钮会显示以下消息:

hoek node module before 5.0.3 suffers from a Modification of Assumed-Immutable Data (MAID) vulnerability via 'merge'

直到昨天它还没有显示这样的错误。我已经超过 5 天没有对这个存储库进行任何推送了。知道为什么会这样。

Answer 1

我使用了:rm package-lock.json && npm update && npm install。对我来说，将 hoek 更新为 4.2.1，其中还包含修复程序 ( per this comment .)

编辑:在另一个应用程序中，我运行了 rm package-lock.json 和 npm i hoek && npm up && npm i && npm un hoek 或 npm i hoek && npm un hoek && npm up && npm i(不记得顺序)，它更对齐 with this comment (from JamesSingleton) .

(rm package-lock.json 只有存在才有效。)

编辑:在第 3 个应用程序中，我检查了 npm outdated 并发现我必须从 升级 react-scripts-ts >2.13.0 到 2.15.1。为此，我手动更新了 package.json，然后运行 ​​npm i。完成后，hoek 更新到 4.2.1.(专门针对那个 holdout/主要组件)。

编辑:我对 Zurb Foundation 6 站点的解决方案:

我使用 npm outdated 将我所有的包更新到它们的主要版本。然后我跑了:

npm i hoek@latest --save && npm up hoek

npm 我 boom hawk sntp uncss gulp-uncss --save && npm up boom hawk sntp uncss gulp-uncss && npm un boom hawk sntp gulp-uncss uncss --save

有两个坚持者； browser-sync : 2.23.7 和 node-sass : 4.9.0，都是最新版本。不管怎样:提交后 GitHub 警告已解决。