CVE-2021-43616
MediumSummary
Polecenie npm ci w npm w wersjach 7.x i 8.x do 8.1.3 kontynuuje instalację, nawet jeśli informacje o zależnościach w pliku package-lock.json różnią się od tych w package.json. To zachowanie jest niezgodne z dokumentacją.
Risk Assessment
Taka niezgodność może ułatwić atakującym instalację złośliwego oprogramowania, które miało być zablokowane. Organizacje mogą być narażone na ryzyko wprowadzenia nieautoryzowanych pakietów do swoich aplikacji.
Recommendation
Zaleca się aktualizację npm do najnowszej wersji, aby zapewnić zgodność między package-lock.json a package.json oraz zminimalizować ryzyko instalacji złośliwego oprogramowania.
Original NVD description (English source)
The npm ci command in npm 7.x and 8.x through 8.1.3 proceeds with an installation even if dependency information in package-lock.json differs from package.json. This behavior is inconsistent with the documentation, and makes it easier for attackers to install malware that was supposed to have been b