CVE-2021-43616

CVE-2021-43616 を示すリポジトリ / https://github.com/npm/cli/issues/2701 nodemodules フォルダを削除し、npx npm@8 ci を実行すると、npm が package-lock.json で 2.0.0 を要求しているにもかかわらず、バージョン 2.2.x このコミット時点では 2.2.16 をインストールする様子がわかります。 cat nodemodules/shortid/package.json 元のインストール時の nodemodules をコミットしてあるので、npm ci 実行後に問題が明らかになります。...