npm-install - 当包是最新的时，如何修复具有高任意文件覆盖漏洞的 NPM 包 Tar？

Question

我刚刚从 NPM 安装了 Flickity，并在运行 npm audit 后获得了 NPM 审核安全报告指出我在包 tar 上存在关于任意文件覆盖的高漏洞问题，它是 node-sass 的依赖项，如下所示:

High......................... Arbitrary File Overwrite                                     
Package...................... tar                                                          
Patched in................... >=4.4.2                                                      
Dependency of................ node-sass [dev]                                              
Path......................... node-sass > node-gyp > tar                                   
More info.................... https://npmjs.com/advisories/803 

正在运行npm audit fix没有解决问题，因为该漏洞需要人工审核。 更多信息链接中的建议表示升级到版本 4.4.2或稍后。当我跑npm show tar version时我意识到我正在运行版本4.4.8这让我很困惑。我去了 package-lock.json 并实现node-gyp，它是node-sass的依赖项，正在使用tar版本^2.0.0

这让我很困惑，因为我已经看到许多不同的 tar 版本作为其他包的依赖项，但是这个 node-sass > node-gyp > tar version是唯一一个以下v4.4.2 。为什么它会这样工作，为什么我必须手动修复它以及如何手动修复/升级这个 tar 包？

Answer 1

该问题正在 gitgub 页面上跟踪

https://github.com/sass/node-sass/issues/2625