javascript - 由于 css-what，react-svg-loader 版本 3.03 中的拒绝服务？

Question

由于 css-what 导致 react-svg-loader 版本 3.03 中的拒绝服务，React 解决方案在 npm-audit 中显示了一个高漏洞。

该问题的可能解决方案是什么？

问题如下图：

───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ css-what                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=5.0.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ react-svg-loader                                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ react-svg-loader > react-svg-core > svgo > css-select >      │
│               │ css-what                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1754                            │
└───────────────┴─────────────────────────────────────────────────────────────

标签： javascriptnode.jsreactjssecuritysvg

Answer 1

我尝试用https://www.npmjs.com/package/svg-react-loader替换 react-svg-loader 。它做同样的事情，只是我们需要更改包和 webpack 配置。到目前为止，它没有任何漏洞。