During last update (production) npm audit gives 11 vulnerabilities with 1 critical and 4 high problem

Install / Update Security
1

during last update npm gave me 11 vulnerabilities with 1 critical 4 hight and 5 moderate and 1 low, and told to to try to run npm install --dev less@3.0.4 to fix 5 of them, i did and after another bench update, they where all retained back again to 11 , any help how to fix?

2

Please post the update log or traceback that reports this npm audit result.

That would help to illustrate and research your case.

3 
                   === npm audit security report ===

Run npm install --dev nightwatch@1.0.6 to resolve 6 vulnerabilities

SEMVER WARNING: Recommended action is a potentially breaking change
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low │ Regular Expression Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ debug │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nightwatch [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ nightwatch > mocha-nightwatch > debug │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Critical │ Command Injection │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ growl │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nightwatch [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ nightwatch > mocha-nightwatch > growl │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ http-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nightwatch [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ nightwatch > proxy-agent > http-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ http-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nightwatch [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ nightwatch > proxy-agent > pac-proxy-agent > │
│ │ http-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ https-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nightwatch [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ nightwatch > proxy-agent > https-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ https-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nightwatch [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ nightwatch > proxy-agent > pac-proxy-agent > │
│ │ https-proxy-agent │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

Run npm install --dev less@3.0.4 to resolve 4 vulnerabilities

SEMVER WARNING: Recommended action is a potentially breaking change
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Prototype pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ less [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ less > request > hawk > boom > hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Prototype pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ less [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ less > request > hawk > cryptiles > boom > hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Prototype pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ less [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ less > request > hawk > hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Prototype pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ less [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ less > request > hawk > sntp > hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ nodesecurity.io - nodesecurity Resources and Information. │
└───────────────┴──────────────────────────────────────────────────────────────┘

[!] 10 vulnerabilities found - Packages audited: 2832 (2599 dev, 176 optional)
Severity: 1 Low | 4 Moderate | 4 High | 1 Critical

4

@clarkej i already updated according to npm audit output, but once i make bench update for production, it auto reinstalls old packages and shows the same warning again

5

“i already updated according to npm audit output, but once i make bench update for production, it auto reinstalls old packages and shows the same warning again”

ok thanks I was not aware of ‘npm audit’ and so followed this https://docs.npmjs.com/getting-started/running-a-security-audit to bring my vulnerability count to zero, as you have done.

I guess ‘bench update’ restores the ‘problem’ npm packages so then audit fails once again.

The fix is presumably for the production master repository to be updated to pass an npm audit. I can’t say when that happens - no request here so I posted one 'npm audit' reports security vulnerabilities · Issue #14306 · frappe/erpnext · GitHub

Presumably the vulnerability exposure case is wherever ERPNext faces the web so for example erpnext.com hosted users.

I also submitted our concerns to support@erpnext.com

2 Likes
6

Since we use yarn as the package manager, it restores the dependencies from yarn.lock
Will fix the dependencies using yarn…

7

Sent fixes in both branches: hotfix and develop

https://github.com/frappe/frappe/pull/5645

https://github.com/frappe/frappe/pull/5644

2 Likes
8

Thanks so much for tending to this and your updates netchampfaris