Dependency Vulnerabilities #555

srepollock · 2018-10-30T05:06:38Z

As of NPM@6 and NPM's acquisition of the Node Security Platform, package vulnerabilities are now displayed upon install of the package. When installing filerjs, I noticed a few red flags that discouraged me from using it. 1) The first print from to the command line after running install is: npm WARN deprecated bower@1.3.12: We don't recommend using Bower for new projects. Please consider Yarn and Webpack or Parcel. You can read how to migrate legacy project here: https://bower.io/blog/2017/how-to-migrate-away-from-bower/ and 2) upon installation I found that it contains 29 vulnerabilities (5 low, 19 moderate, 4 high, 1 critical).

Bower is dead. Bower itself explains how to migrate away from it's own platform and use Yarn.
Removing Bower solves all your problems. See the below npm audit report and you'll notice all the issues are from the Bower package and it's dependencies.

I propose there be a change of bundlers from Bower to Yarn using the migration listed in the Bower blog post, as this is the easiest fix.

As I am currently working on my own project that has a very strict deadline, and while I would like to use filer to speed up my development, I cannot use it in my own project if there are package dependencies, nor can I work on a fix for this project at the moment because of my own project's priority.

I hope someone can work on this soon so I can implement Filer, but otherwise it will have to wait until I finish the work I've already begun. I just hope that putting this here can start a thread about vulerabilities in this project, that can also be referenced at future dates. Hope to hear some good news soon and all the best until then!

npm audit report printed to the command line and pasted here for reference

                       === npm audit security report ===

┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-registry-client > request > hawk >     │
│               │ boom > hoek                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-registry-client > request > hawk >     │
│               │ cryptiles > boom > hoek                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-registry-client > request > hawk >     │
│               │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-registry-client > request > hawk >     │
│               │ sntp > hoek                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > hawk > boom > hoek                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > hawk > cryptiles > boom > hoek     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > hawk > hoek                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > hawk > sntp > hoek                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Critical      │ Potential Command Injection                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ shell-quote                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=1.6.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > shell-quote                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/117                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ minimatch                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > glob > minimatch                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/118                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ minimatch                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.0.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > minimatch                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/118                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ ReDoS via long string of semicolons                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tough-cookie                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.3.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > insight > tough-cookie                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/130                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tough-cookie                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.3.3                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > insight > tough-cookie                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/525                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ semver                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.3.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > semver                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/31                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ semver                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.3.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > update-notifier > semver-diff > semver       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/31                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ semver                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.3.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ rollup-plugin-node-builtins [dev]                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ rollup-plugin-node-builtins > browserify-fs > levelup >      │
│               │ semver                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/31                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Memory Exposure                                              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tunnel-agent                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.6.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-registry-client > request >            │
│               │ tunnel-agent                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/598                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Memory Exposure                                              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tunnel-agent                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.6.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > tunnel-agent                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/598                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Cross-Site Scripting                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > handlebars                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/61                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hawk                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.1.3 < 4.0.0 || >=4.1.1                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-registry-client > request > hawk       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/77                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Regular Expression Denial of Se
8000
rvice                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hawk                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=3.1.3 < 4.0.0 || >=4.1.1                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > hawk                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/77                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > inquirer > lodash                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > insight > inquirer > lodash                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Remote Memory Exposure                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ request                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.68.0                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/309                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Memory Exposure                                              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ bl                                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.9.5 <1.0.0 || >=1.0.1                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ rollup-plugin-node-builtins [dev]                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ rollup-plugin-node-builtins > browserify-fs > levelup > bl   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/596                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ deep-extend                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.5.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > bower-json > deep-extend                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/612                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Incorrect Handling of Non-Boolean Comparisons During         │
│               │ Minification                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ uglify-js                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 2.4.24                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > handlebars > uglify-js                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/39                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ uglify-js                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.6.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > handlebars > uglify-js                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/48                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ mime                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 1.4.1 < 2.0.0 || >= 2.0.3                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ filer [dev]                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ filer > bower > request > form-data > mime                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/535                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 29 vulnerabilities (5 low, 19 moderate, 4 high, 1 critical) in 5844 scanned packages
  29 vulnerabilities require manual review. See the full report for details.

The text was updated successfully, but these errors were encountered:

humphd · 2018-10-30T13:51:31Z

I'll take a look. We certainly don't need/want bower.

humphd · 2018-10-30T18:37:02Z

OK, so the issue here is simply that our npm module is out of date. master is fine:

$ npm audit

                       === npm audit security report ===

found 0 vulnerabilities
 in 9103 scanned packages

I've updated our dist/ built files in ea95bad. We need to have the npm module updated, which I can't do.

@modeswitch can you please update the version in package.json and update the npm module so we're in sync with what's on master?

modeswitch · 2018-11-17T01:48:47Z

@humphd Yeah, I can republish.

humphd · 2018-11-17T02:01:28Z

Let's bump the parceljs dep first, it's got a security issue. On Nov 16, 2018 8:48 PM, Alan K <notifications@github.com> wrote: @humphd<https://na01.safelinks.protection.outlook.com/?url=https%3A%2F%2Fgithub.com%2Fhumphd&data=02%7C01%7Cdavid.humphrey%40senecacollege.ca%7Cec67b06585634fdfe12e08d64c2ed1e6%7Ceb34f74a58e74a8b9e59433e4c412757%7C0%7C0%7C636780161304913328&sdata=Hq3RuEsOdDqyMLleU1N0KXHQMgW5Tb6MGWs0DSgakCk%3D&reserved=0> Yeah, I can republish. — You are receiving this because you were mentioned. Reply to this email directly, view it on GitHub<https://na01.safelinks.protection.outlook.com/?url=https%3A%2F%2Fgithub.com%2Ffilerjs%2Ffiler%2Fissues%2F555%23issuecomment-439577626&data=02%7C01%7Cdavid.humphrey%40senecacollege.ca%7Cec67b06585634fdfe12e08d64c2ed1e6%7Ceb34f74a58e74a8b9e59433e4c412757%7C0%7C0%7C636780161304923342&sdata=bE5edFl%2F%2BUEi5nvR3WK0UiEsmgFSlQTlmCT3hjlBwEg%3D&reserved=0>, or mute the thread<https://na01.safelinks.protection.outlook.com/?url=https%3A%2F%2Fgithub.com%2Fnotifications%2Funsubscribe-auth%2FAAaFhjVrHIzPrpJew2nvx1onyVmjyOCEks5uv2sAgaJpZM4YBMMT&data=02%7C01%7Cdavid.humphrey%40senecacollege.ca%7Cec67b06585634fdfe12e08d64c2ed1e6%7Ceb34f74a58e74a8b9e59433e4c412757%7C0%7C0%7C636780161304923342&sdata=MNZD%2BIIkig1%2FWAjKEe%2FxrEnBrC5%2FunGatXgTm13kQO8%3D&reserved=0>.

humphd · 2018-11-17T02:41:08Z

Fixed in #563

humphd · 2018-11-18T01:23:01Z

Let's deal with #566 before people upgrade their code.

humphd · 2018-12-18T16:09:25Z

All the various work that was blocking this has been cleared, and I think it's now safe to update what's on npm. It's a big update, so we'll need to figure out the version number, write the changelog so people make changes to use new/updated API, and I might try to get the npm deploy happening via travis automatically on tagging.

humphd · 2018-12-18T16:19:29Z

#404 for the deploy automation.

humphd · 2018-12-21T20:04:06Z

Fixed, see https://github.com/filerjs/filer/releases.

NOTE: I've done a major version bump here because we landed so much, and I know that some of it will be breaking. Having said that, I also know that data loss won't be an issue, we have migration tests for this now (which is what took me so long to get this done!).

Please file bugs on anything you find, I'm going to be moving on this again in the new year, and already have some more to ship.

srepollock mentioned this issue Oct 30, 2018

Scene switching srepollock/divine-engine#18

Closed

humphd mentioned this issue Nov 18, 2018

Prevent data loss on Filer upgrade, deal with changes to Node layout #566

Closed

humphd closed this as completed Dec 21, 2018

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

Uh oh!

Dependency Vulnerabilities #555

Dependency Vulnerabilities #555

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Dependency Vulnerabilities #555

Dependency Vulnerabilities #555

Comments

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!