जब मैं चलता हूं तो npm installयह कहता है found 33 vulnerabilities (2 low, 31 moderate)
run `npm audit fix` to fix them, or `npm audit` for details।
हालाँकि, npm audit fixआउटपुटup to date in 11s
fixed 0 of 33 vulnerabilities in 24653 scanned packages
33 vulnerabilities required manual review and could not be updated
क्या reviewइसका मतलब यह है कि यह उपयोगकर्ता द्वारा तय नहीं किया जाना चाहिए?
जब मैं npm auditइसे चलाता हूं तो मुझे इसके समान तालिकाओं की सूची दी जाती है:
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.17.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ browser-sync > easy-extender > lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://nodesecurity.io/advisories/577 │
└───────────────┴──────────────────────────────────────────────────────────────┘
इस उदाहरण में लिंक्ड पेज का रेमेडिएशन सेक्शन कहता है Update to version 4.17.5 or later.। हालांकि, /node_modules/browser-sync/package.jsonवहाँ लाइनें हैं:
"devDependencies": {
"lodash-cli": "4.17.5",
}
और कोई और अधिक निर्भरता निर्भरता नहीं है। तो यह पहले से ही v4.17.5 होना चाहिए। मैंने भी चेक किया /node_modules/lodash/lodash.jsonजिसमें var VERSION = '4.17.10';लाइन है। में /node_modules/lodash/package.jsonइन पंक्तियों देखते हैं:
"_from": "lodash@^4.17.4",
"_id": "lodash@4.17.10",
मेरा मानना है कि "_id" में दिखाया गया संस्करण "_from" में नहीं है, इसलिए संस्करण सही हैं, लेकिन ऑडिट सूची में भेद्यता अभी भी दिखाई देती है।
मैं अभी भी नोड.जेएस में नया हूं और उन संदेशों ने मुझे बहुत भ्रमित किया है। क्या इसे मैन्युअल रूप से ठीक करने या उन संदेशों से छुटकारा पाने का कोई तरीका है, मैं कुछ नहीं कर सकता?