作者shter (飛梭之影)
看板Soft_Job
標題[請益] 有人最近 Github 收到 security 通知嗎?
時間Sat Jul 13 11:02:30 2019
不好意思借軟體工作版問一下，因為對 npm 不熟
最近這兩天陸續有兩個專案收到 GitHub 寄來的信
第一封是
Known high severity security vulnerability detected in
lodash.defaultsdeep < 4.6.1 defined in package-lock.json.
package-lock.json update suggested: lodash.defaultsdeep ~> 4.6.1.
第二封是
Known high severity security vulnerability detected in lodash < 4.17.13
defined in package-lock.json.
package-lock.json update suggested: lodash ~> 4.17.13.
我本身沒有在使用 loadsh，應該是 npm 的相依套件有用 loadsh
然後查了一下是 loadsh 被發現有安全性漏洞?
請問這個問題是我要直接去修改 package-lock.json
還是要等我用的套件改完 loadsh 版本後我再去 package.json 升級使用的套件版本
重做 npm install (?) 再讓它把相依的 loadsh 套件版本升上去 ?
--
[LINE 台幣匯率機器人] https://line.me/R/ti/p/sCsZnuBg5V
即時台銀匯率，可計算退稅價格，出國血拼直接輸入貨架金額查詢退稅後台幣價。
打招呼會告訴你使用說明 講日幣就會將匯率切成日幣模式 之後打數字就會自動轉換
===============================================================
新增筆記本功能可紀錄外幣消費、比價用途，並利用所查價格開啟團購功能
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.166.241.188 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Soft_Job/M.1562986959.A.BCE.html
1F：→ diabloevagto: 等你用的套件修改 07/13 11:23
2F：→ illya65536: 除非他有用特定版本，不然可以自己升級 07/13 15:37
3F：→ illya65536: 可以用 npm audit 檢查 07/13 15:37
4F：推 sp063439: 如果是 yarn 可以用 resolve 指定版本 07/14 08:36
5F：→ shter: 謝謝，剛才查了一下應該還沒更新 07/14 19:28