Я только что установил Flickity из NPM и получил отчет по безопасности аудита NPM после запуска npm audit котором говорится, что у меня есть проблема с высокой уязвимостью, связанная с произвольным перезаписыванием файлов в пакете tar, которая является зависимостью node-sass, как вы можете видеть здесь:
High......................... Arbitrary File Overwrite
Package...................... tar
Patched in................... >=4.4.2
Dependency of................ node-sass [dev]
Path......................... node-sass > node-gyp > tar
More info.................... https://npmjs.com/advisories/803
Выполнение npm audit fix не решило проблему, поскольку уязвимость требует проверки вручную. Рекомендация по ссылке дополнительная информация гласит об обновлении до версии 4.4.2 или более поздней. Когда я запустил npm show tar version я понял, что использую версию 4.4.8 и это меня смутило. Я пошел в package-lock.json и понял, что node-gyp, который является зависимостью от node-sass, использует tar версию ^ 2.0.0
Это сбивает меня с толку, так как я видел много разных версий tar в качестве зависимости от других пакетов, но эта node-sass > node-gyp > tar version - единственная, представленная ниже v4.4.2. Почему это работает так, почему я должен исправить это вручную и как я могу вручную исправить/обновить этот один tar-пакет?