了解NPM漏洞-隧道代理

Question

因此，我在名为tunnel-agent的软件包中存在一个漏洞。运行npm audit后，将列出依赖于此软件包的软件包：

• gatsby-plugin-sharp

好的，我更新了，一切正常吗？否。仍然列为脆弱人群，所以现在我开始寻找导致困境的兔子洞。

运行npm list tunnel-agent可以找出谁依赖此软件包。

因此，该漏洞已在tunnel-agent@0.6.0中修复，但是我有一件事说它正在使用tunnel-agent@0.4.3。但这是在同一包gatsby-plugin-sharp中，所以为什么不固定？

我开始处理github问题，发现因为gatsby-plugin-sharp使用imagemin-mozjpeg> caw@1.2.0> tunnel-agent@0.4.3，我仍然坚持正确吗？

所以我要问的是，在不依靠插件作者更新其依赖关系的情况下，您将如何使用caw@2.0.1并随后使用tunnel-agent@0.6.0彻底删除此漏洞？

Answer 1

这是所有环境变量。 但是您可以分叉尚未合并发布的打开请求请求。然后创建具有修复程序的on npm软件包。  https://github.com/request/tunnel-agent/pull/45  纱线消除了这些错误。

“纱线”没有这些问题。由于它是为本地范围设计的。