学習用に「対応する」つもりであるなら、下記の手順で対応してみてください。
GitHub からセキュリティー通知が来た場合
public な リポジトリや
private なリポジトリでも GitHub への読み取りのアクセス許可を与えている場合に
このような形で セキュリティーの問題が開発者に通知されるようです。
https://help.github.com/en/github/managing-security-vulnerabilities/configuring-automated-security-updates
通知が不要な場合はリポジトリの設定を変更する事で通知が来なくすることもできます。
今回は、勉強を兼ねて どのように対処したらいいのか解説します。
対処内容確認
まず、セキュリティーの内容を確認します。
https://github.com/yahoo/serialize-javascript/security/advisories/GHSA-h9rv-jmmf-4pgx
日本語では
https://jvndb.jvn.jp/ja/contents/2019/JVNDB-2019-012989.html
にあるように serialize-javascirpt 2.1.1 より 古いバージョンには 正規表現の取り扱いに問題があるため XSS(クロスサイトスクリプティング) セキュリティーの問題があるようです。
ここで、忠告を受け入れて対処するか、忠告を無視して 対応するか 判断が必要です。
今回は 対処する方法を解説します。
対処方法
GitHub の提案する [create automated security update] ボタンをクリックると package.json に書かれているインストールされている npm パッケージのバージョン番号を 1.7.1 から 2.2.1 に変更するコミットを提案してきます。(GitHub から pull request が来ます)
プルリクエストを受け取とると セキュリティーのアラート表示が消えるのですが、このままでは
セキュリティーの本質的な解決にはなりません。
git pull
npm update
して 最新の パッケージをダウンロードして アプリの動作確認を行い
問題がない事を確認して
git add *
git commit -m "セキュリティー対応のため serialize-javascript 2.1.1 に更新"
git push
としておきます。
セキュリティーアップデートと互換性の問題
今回は ver 1.7.1 から 2.1.1 に変更しても ライブラリの互換性の問題は発生しないようですが、
ライブラリによっては、単純にはいかない場合もあります。
実は、このセキュリティーアップデートとライブラリの互換性の問題で
アプリが動かない、または、微妙にうごきあおかしくなって、対処できない・・。
何てことが良く発生します。
それをどのように対処するかは・・ stackoverlow でみんなに聞いてください。
そうして得た情報はみんなで共有しましょう。