node.js - npm audit fix 后如何解决 Prototype Pollution lodash 需要人工审核

Question

当我执行 npm audit 时，它给了我这个链接，说我必须在我的 NODEJS 应用程序中更新 lodash https://www.npmjs.com/advisories/782但我尝试了 npm install lodash@latest --save 但它仍然没有给我同样的漏洞，我认为这就是为什么它不加载本地主机的原因

Answer 1

听起来很傻，但很多时候修复可能是最简单、最明显的:

$ rm -rf node_modules/
$ npm install
$ npm audit

如此处 ( https://thehackernews.com/2019/07/lodash-prototype-pollution.html ) 所报告，旧拉取请求中的补丁最终得到更新。我不确定，但也许你在这些补丁合并之前运行了 npm audit fix 。

我刚刚用一个简单的npm audit fix 修复了我的问题。