reactjs - 原型(prototype)污染——npm漏洞无法修复？

Question

我正在开始一个新的 react 项目，我刚刚安装了非常基本的包(npx create-react-app)，没有任何其他东西。当我运行审核时，我得到以下低漏洞:

                       === npm audit security report ===                        
                                                                                
┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ yargs-parser                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=13.1.2 <14.0.0 || >=15.0.1 <16.0.0 || >=18.1.2             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ react-scripts                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ react-scripts > webpack-dev-server > yargs > yargs-parser    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1500                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 1 low severity vulnerability in 1896 scanned packages
  1 vulnerability requires manual review. See the full report for details.

我尝试谷歌并寻找解决此问题的方法，我重新安装了 yargs-parser 软件包但没有成功，并尝试重新安装该项目多次。

任何帮助将不胜感激。

Answer 1

目前还没有立即修复的方法。自 react-scripts 中固定版本以来，yargs-parser 在已发布的版本中进行了重大更改。我们正在等待 react-scripts 更新以解决此警告。

值得注意的是，这不是一个“严重”漏洞，应该只影响开发环境。它已在最新的 yargs-parser 中修复，但我不会因为低风险漏洞而失眠。它们时常发生，社区通常很擅长修补它们。

您可以在此处查看此问题的进展情况或(取决于您的技能水平)为修复做出贡献:https://github.com/facebook/create-react-app/issues/8529