在 node-forge 中检测到漏洞

Question

我最近开始了一个新的 Vue.js 项目。在我最近的 GitHub 提交之后，我收到了以下 Dependabot 通知：

在 package-lock.json 中定义的 node-forge < 0.10.0 中检测到的已知高严重性安全漏洞。package-lock.json 建议更新：node-forge ~> 0.10.0。

我该如何更新 node-forge？我已经运行了 npm 审计修复。

node-forge 仅在我的 package-lock.json 文件中，并且是“自签名”依赖项所必需的。

Answer 1

你可以试试

npm update

这应该将所有包更新到最新版本，遵守 package.json / package-lock.json 中的语义版本控制规则。

您还可以尝试让 Dependabot 生成拉取请求来解决问题。如果您选择警报本身，您应该会看到一个像这样的按钮：

这将尝试创建一个拉取请求（这不会总是成功）并且通常需要几分钟。完成后，您可以查看和合并。