Please consider releasing a new version to npm that requires js-yaml >= 3.13.1
Author: yushihCreated Jun 4, 2019Updated Jun 27, 2019
Currently the newest version in npm is 2.1.12, which depends on "js-yaml": "~3.1.0",, but this version of js-yaml has multiple vulnerabilities. npm audit outputs:
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ js-yaml │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.13.0 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ lovefield │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ lovefield > js-yaml │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://npmjs.com/advisories/788 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Code Injection │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ js-yaml │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.13.1 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ lovefield │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ lovefield > js-yaml │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://npmjs.com/advisories/813 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Regular Expression Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ underscore.string │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.3.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ lovefield │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ lovefield > js-yaml > argparse > underscore.string │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://npmjs.com/advisories/745 │
└───────────────┴──────────────────────────────────────────────────────────────┘
Source: google/lovefield