时间戳

首页 > 解决方案 > 如何解决以 npm 作为依赖包的 npm 漏洞？

node.js - 如何解决以 npm 作为依赖包的 npm 漏洞？

问题描述

所以我跑npm audit了，所有的漏洞都是由于某些依赖npm，特别node-gyp是使用易受攻击的tar. 请注意，node-gyp我的package.json.

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary File Overwrite                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tar                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.2.2 <3.0.0 || >=4.4.2                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ npm                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ npm > npm-lifecycle > node-gyp > tar                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/803                             │
└───────────────┴──────────────────────────────────────────────────────────────┘

我尝试更新到最新版本的 npm，但仍然得到相同的审计报告。它非常嵌套。我该如何解决这个问题？

标签： node.jsnpmpackage.jsonnpm-audit

解决方案

推荐阅读