uglifyjs-webpack-plugin 安全漏洞

Question

我在 uglifyjs-webpack-plugin 包上发现了一个安全漏洞

  Moderate        Cross-Site Scripting

  Package         serialize-javascript

  Patched in      >=2.1.1

  Dependency of   uglifyjs-webpack-plugin [dev]

  Path            uglifyjs-webpack-plugin > serialize-javascript

  More info       https://npmjs.com/advisories/1426

我来的所有修复都建议升级serialize-javascript到最新版本，但由于我没有直接使用它，我不确定在这里做什么。有任何想法吗？

我正在使用这个版本 "uglifyjs-webpack-plugin": "^2.2.0"

Answer 1

看看package.json。该插件依赖于"serialize-javascript": "^1.7.0"和插入符号范围意味着<2.0.0将被下载，实际上最后一个可接受的可用版本是1.9.1，其中未提供修复程序。

因为存储库现在已存档（被视为已弃用），您可以自己修补它，或者如果可以切换到文档建议的 terser-webpack-plugin。