Backbone-Undo/Subrayar Aviso de Seguridad

También me pregunto si es necesario deshacer la columna vertebral o si se puede reemplazar por algo similar. El paquete no se ha actualizado en 6 años

El paquete no se ha actualizado en 6 años

Bueno, salvo actualizar sus dependencias (como en este caso, por razones de seguridad), es una biblioteca completa en funcionalidades, no hay necesidad de añadir o actualizar nada más.

En fin, este PR parece solucionar la vulnerabilidad de seguridad a nivel .lock, pero no estoy seguro de si se mantienen en una instalación limpia. Sé que el hilo tiene 'resoluciones' para estos casos, pero no estoy seguro de alternativas en NPM.

Gracias por tu respuesta

En fin, este PR parece solucionar la vulnerabilidad de seguridad a nivel .lock, pero no estoy seguro de si se mantiene en una instalación limpia.

Creo que eso podría arreglar la versión en el repositorio principal de 'grapejs', pero no estoy seguro de que restrinja la que se importa mediante 'backbone-undo'.

Si configuras un proyecto nuevo a través de

Yarn Init
yarn add grapesjs

El nuevo 'yarn.lock' seguirá haciendo referencia a ambas versiones;

# ESTE ES UN ARCHIVO GENERADO AUTOMÁTICAMENTE. NO EDITES ESTE ARCHIVO DIRECTAMENTE.
# Archivo de bloqueo de hilo v1

backbone-undo@^0.2.5:
  Versión "0.2.5"
  resuelto "https://registry.yarnpkg.com/backbone-undo/-/backbone-undo-0.2.5.tgz#55b25230f90319ca622465e89a80248b893c2ce2"
  integrity sha1-VbJSMPkDGcpiJGXomoAki4k8LOI=
  Dependencias:
    columna vertebral "1.0.0 - 1.2.1"
    subraya "1.4.4 - 1.8.3"

...

grapesjs@^0.17.4:
  Versión "0.17.4"
  resuelto "https://registry.yarnpkg.com/grapesjs/-/grapesjs-0.17.4.tgz#4baf69598b74a2e58c5133d9ab85631cf4de53e1"
  integrity sha512-oBFCg88KpUKly4LCf+FG42f0kbIKBbkilpyBr+2aggnLRpeSYFv3Db+fQIG+H1Y345QVqKbi/IKEUJe5X0wuiw==
  Dependencias:
    Columna vertebral "1.3.3"
    backbone-undo "^0.2.5"
    Cash-dom "^2.3.9"
    codemirror "^5.58.2"
    Formateo codemirror "^1.0.0"
    Keymaster "^1.6.2"
    Promesa-polifill "^8.1.3"
    spectrum-colorpicker "^1.8.0"
    guion bajo "^1.9.1"

...

"[email protected] - 1.8.3":
  Versión "1.8.3"
  resuelto "https://registry.yarnpkg.com/underscore/-/underscore-1.8.3.tgz#4f3fb53b106e6097fcf9cb4109f2a5e9bdfa5022"
  integrity sha1-Tz+1OxBuYJf8+ctBCfKl6b36UCI=

underscore@>=1.7.0, underscore@>=1.8.3, underscore@^1.9.1:
  Versión "1.13.1"
  resuelto "https://registry.yarnpkg.com/underscore/-/underscore-1.13.1.tgz#0c1c6bd2df54b6b69f2314066d65b6cde6fcf9d1"
  integrity sha512-hzSoAVtJF+3ZtiFX0VgfFPHEDRm7Y/QPjGyNo4TVdnDTdft3tr8hEkD25a1jC+TjTuE7tkHGKkhwCgs9dgBB2g==

Gracias por informar de esto, @chilled-capibara.

Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas.

Para ti ahora mismo:

1. Ejecutar 'npm audit fix' para ver los parches disponibles
2. Busca una versión más reciente de GrapesJS que ya haya solucionado esto
3. Si está disponible, prueba la última versión estable antes de actualizar
4. Si la vulnerabilidad es crítica, 'npm audit fix ---force' es una opción, pero prueba a fondo

Entendiendo el riesgo:

• Revisar los detalles específicos de vulnerabilidades en los Avisos de Seguridad de GitHub
• No todos los problemas de alta gravedad afectan a tu ruta de código
• Algunas vulnerabilidades solo se activan bajo condiciones específicas

Manteniéndome al día:

• Atentos a nuevos lanzamientos de GrapesJS
• Suscribirse a las notificaciones de seguridad en el repositorio
• El equipo prioriza las actualizaciones de seguridad en su ciclo de lanzamiento