Casi la mitad de los paquetes especificados tienen vulnerabilidades de alto riesgo, todos presentan alguna vulnerabilidad.

Por eso los programadores veteranos con décadas de experiencia desaprueban JS como lenguaje de back-end. Javascript no está pensado para ser un lenguaje de lado servidor, y estos paquetes de nodos crean vulnerabilidades que provocan que los servidores sean hackeados.

Corrección de auditoría de npm grapesjs$

Cambié 1 paquete y audité los paquetes de 2026 en 3

# Informe de auditoría del NMP

Diff <3.5.0
Gravedad: alta
Denegación de Servicio con expresión regular - https://npmjs.com/advisories/1631
Corrección disponible a través de 'NPM Audit Fix ---Force'
Instalaré [email protected], que es un cambio rotundo
node_modules/diff
  disparidad <=2.0.0
  Depende de las versiones vulnerables de los diferenciales
  node_modules/disparidad
    Documentación 4.0.0-beta - 13.0.1
    Depende de las versiones vulnerables de la disparidad
    Depende de las versiones vulnerables de los yargs
    node_modules/documentación

Mem <4.0.0
Denegación de Servicio - https://npmjs.com/advisories/1084
Corrección disponible a través de 'NPM Audit Fix ---Force'
Instalaré [email protected], que es un cambio rotundo
node_modules/mem
  OS-locale 2.0.0 - 3.0.0
  Depende de las versiones vulnerables de mem
  node_modules/os-locale
    yargs 4.0.0-alpha1 - 12.0.5 || 14.1.0 || 15.0.0 - 15.2.0
    Depende de las versiones vulnerables de OS-locale
    Depende de las versiones vulnerables de yargs-parser
    node_modules/yargs
      Documentación 4.0.0-beta - 13.0.1
      Depende de las versiones vulnerables de la disparidad
      Depende de las versiones vulnerables de los yargs
      node_modules/documentación

YARGS-analizador <=13.1.1 || 14.0.0 - 15.0.0 || 16.0.0 - 18.1.1
Contaminación prototipo - https://npmjs.com/advisories/1500
Corrección disponible a través de 'NPM Audit Fix ---Force'
Instalaré [email protected], que es un cambio rotundo
node_modules/yargs-parser
  yargs 4.0.0-alpha1 - 12.0.5 || 14.1.0 || 15.0.0 - 15.2.0
  Depende de las versiones vulnerables de OS-locale
  Depende de las versiones vulnerables de yargs-parser
  node_modules/yargs
    Documentación 4.0.0-beta - 13.0.1
    Depende de las versiones vulnerables de la disparidad
    Depende de las versiones vulnerables de los yargs
    node_modules/documentación

7 vulnerabilidades (4 bajas, 3 altas)

Esto es una preocupación de seguridad seria y debería ser abordada por el desarrollador, o debería haber una advertencia adecuada en el readme.md que desincentive el uso en producción sin solucionar todas estas vulnerabilidades.

¿Hay alguna forma de usar solo la capa del lado del cliente de GrapesJS? ¿Puede el desarrollador identificar los archivos del lado del cliente?

¿GrapesJS tiene una capa del lado del servidor?

Javascript no está pensado para ser un lenguaje de lado servidor, y estos paquetes de nodos crean vulnerabilidades que provocan que los servidores sean hackeados.

¿Estás insinuando que Javascript es el único lenguaje donde las dependencias pueden introducir vulnerabilidades de seguridad? Si hay alguna característica de Javascript que hace que este tipo de vulnerabilidades sean más probables, deberías especificarlo en tu afirmación, de lo contrario lo que dices es solo un disparate subjetivo.

Gracias por informar de esto, @AmtechInnovarch.

Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas.

Para ti ahora mismo:

1. Ejecutar 'npm audit fix' para ver los parches disponibles
2. Busca una versión más reciente de GrapesJS que ya haya solucionado esto
3. Si está disponible, prueba la última versión estable antes de actualizar
4. Si la vulnerabilidad es crítica, 'npm audit fix ---force' es una opción, pero prueba a fondo

Entendiendo el riesgo:

• Revisar los detalles específicos de vulnerabilidades en los Avisos de Seguridad de GitHub
• No todos los problemas de alta gravedad afectan a tu ruta de código
• Algunas vulnerabilidades solo se activan bajo condiciones específicas

Manteniéndome al día:

• Atentos a nuevos lanzamientos de GrapesJS
• Suscribirse a las notificaciones de seguridad en el repositorio
• El equipo prioriza las actualizaciones de seguridad en su ciclo de lanzamiento