¿Cómo soluciono un paquete npm vulnerable en mi package-lock.json que no aparece en package.json?

Github me dice que una dependencia en mi archivo package-lock.json es vulnerable y está desactualizada. El problema es que si lo hago npm installo npm update, ninguno de ellos actualizar la dependencia en el archivo de paquete-lock.json.

He buscado mucho en Google sobre esto, así como borrado el archivo y listo npm install.

Si alguien puede ayudar a resolver esto, se lo agradecería enormemente. El paquete en cuestión es Hoek, que en realidad no tengo en mi archivo package.json.

Muchas gracias de antemano.

Parece que Hoek es una dependencia de una de sus dependencias (por lo tanto, un paquete que tiene en su package.json lo requiere de su propio package.json).

Ya ha intentado eliminar / reinstalar y actualizar las dependencias de su proyecto sin éxito, por lo que parece que la dependencia del paquete en cuestión tiene una versión explícita o máxima especificada.

Sin ver el package.json para cada una de sus dependencias, sería difícil aconsejar más sobre cómo forzar una actualización.

Editar: para ayudarlo a identificar qué paquetes están usando qué dependencias, puede usar el lscomando de NPM : https://docs.npmjs.com/cli/ls

Por ejemplo, para ver qué paquetes están usando Hoek: npm ls hoek

Edición 2: como Ulysse BN señala correctamente, si tiene NPM versión 6 o posterior, puede usar npm audit fixpara pedirle a NPM que intente arreglar las vulnerabilidades por usted.

Edición 3: aquellos que lean esto también deberían consultar la respuesta de JBallin a continuación. Amplía la información que he proporcionado aquí y es (en mi opinión) una respuesta más estructurada que aborda mejor la pregunta de OP. Sin embargo, si desea una solución rápida, esta respuesta debería ser suficiente.

TLDR: actualice el paquete principal usando npm i $PARENT_PKG_NAME.

Nota

Al actualizar las dependencias, debe revisar el CHANGELOG para ver si hay cambios importantes.

Diagnóstico

npm auditrevelará tanto el paquete vulnerable (tenga en cuenta que necesitará un archivo package-lock.json para esto, por lo que deberá ejecutarlo npm i), así como el paquete del que depende (si corresponde). Tenga en cuenta que también puede usar npm ls $CHILD_PKG_NAMEpara ver sus dependencias principales.

Intento de solución rápida

npm audit fixy npm audit fix --forcevale la pena intentarlo, pero a veces la corrección deberá realizarse manualmente (ver más abajo).

Arreglo manual

Lo más probable es que el paquete principal ya haya solucionado sus dependencias (puede verificar esto yendo a su GitHub y revisando las confirmaciones recientes, o simplemente viendo si esto lo soluciona), por lo que puede ejecutar npm i $PARENT_PKG_NAME @$NEW_VERSIONy actualizará su bloqueo de paquete .json.

Si el padre no ha solucionado la vulnerabilidad

Si el mantenedor no parece responder, puede considerar usar un paquete alternativo que logre lo mismo o bifurcar el paquete y actualizar la vulnerabilidad usted mismo.

Verificar corrección

Ahora puede verificar que funcionó ejecutando npm audity asegurándose de que no aparezcan vulnerabilidades. Confirme sus cambios, envíelos a GitHub, actualice sus notificaciones / alertas y ¡deberían desaparecer!

Si tiene npm @ 6 o posterior, puede usarlo npm audit fixpara sus problemas de seguridad.

Utilizar:

npm yo hoek

npm instalará la última versión de hoek y su package.lock.json se actualizará.

Tuve este problema y descubrí que se debía a que el servidor en el que estaba ejecutando npm tenía una versión anterior de npm, package-lock.json solo es compatible con las versiones más recientes.

Intentaste esto: ve a la raíz de tu proyecto, elimina el package-lock.jsonarchivo node_modulesy las .cachecarpetas, y luego npm install.

Para verificar paquetes npm vulnerables, simplemente use los siguientes comandos:

npm audit

Para arreglar paquetes vulnerables de npm, simplemente use los siguientes comandos que también arreglarán package-lock.json:

npm audit fix

Edite package-lock.jsonmanualmente y actualice la versión del paquete vulnerable a la corregida y luego use

npm ci

Eso instalará los paquetes de acuerdo con package-lock.jsonignorando package.jsonprimero. Entonces usa

npm audit fix

nuevamente, para asegurarse de que esté bien hecho. Si no ayuda, utilice otras soluciones dadas.

Más información aquí:

https://blog.npmjs.org/post/171556855892/introducing-npm-ci-for-faster-more-reliable

o aquí: https://docs.npmjs.com/auditing-package-dependencies-for-security-vulnerabilities

Después de instalar nuevas dependencias, ejecute el siguiente comando para actualizar el archivo package-lock.json:

npm update package-lock.json