CVE-2021-44906 极简主义中的原型污染

Question

Github dependabot 在我的依赖项中发现了潜在的安全漏洞。

• Minimist <=1.2.5 容易通过文件 index.js、函数 setKey()（第 69-95 行）受到原型污染。

我不知道如何修复它。我该怎么办？

Answer 1

来源：https://github.com/substack/minimist/issues/164

修复分辨率：minimist - 1.2.6

安装npm-force-resolutions:

npx npm-force-resolutions

然后将字段解析与您要修复的依赖版本添加到您的 package.json 文件中。它修改 package-lock.json 以强制安装特定版本的传递依赖项。

"resolutions": {
    "minimist": "1.2.6"
}