Github高严重性安全漏洞：带有Node.js应用的GHSA-7fhm-mqm4-2wp7

Question

在将nodemon添加到我的node.js应用程序上的devDependencies之后，我在GitHub上收到了安全警报：

中等严重程度脆弱版本：<1.2.2修补版本：1.2.2ESLints的两个依赖项中存在高度严重的安全漏洞：-橡子-极简主义者

svjsl（JSLib-npm）的1.8.3和更低版本容易受到攻击，但仅当安装在开发人员环境中时才容易受到攻击。已发布了一个修补程序（v1.8.4），可以修复这些漏洞。

标识符：

CVE-2020-7598SNYK-JS-ACORN-559469（没有CVE标识符）

我的package.json：

{
      "name": "web-server",
      "version": "1.0.0",
      "description": "",
      "main": "app.js",
      "scripts": {
        "start": "node src/app.js",
        "dev": "nodemon src/app.js -e js,hbs"
      },
      "keywords": [],
      "author": "",
      "license": "ISC",
      "dependencies": {
        "express": "^4.17.1",
        "hbs": "^4.1.0"
      },
      "devDependencies": {
        "nodemon": "^2.0.2"
      }
    }

我不知道该怎么办，或者我应该提供有关我的应用的更多信息/代码。

Github存储库：https://github.com/badrddinb/simple-weather-website

Answer 1

package-lock.json中的

“ minimist”：{“ version”：“ 0.0.10”，}导致^^问题。 https://nvd.nist.gov/vuln/detail/CVE-2020-7598

修复将minimist升级到1.2.2或更高版本。例如：

“依赖关系：{”极简主义者“：”> = 1.2.2“}

或…

“ devDependencies”：{“ minimist”：“> = 1.2.2”}