githubのWe found potential security vulnerabilities in your dependencies.というメッセージがついて

Question

githubに

というメッセージが来ていて開いてみると
![
actionviewをクリックすると

このように表示されています。
bundle updateをしてみましたが変わりませんでした。
どのようにすればこのメッセージは消えますか？

Comments

[querykuma]

エラーメッセージで検索したら記事がいくつも出てきます。
記事はbundle updateで解決すると書いてあるのでbundle updateで解決しないのはおかしいですね。

実物をコピーして試さないとわからないと思います。
githubのURLを貼ってください。

[ikt_erk122]

https://github.com/ryusei1124/kintai-system
いくつかリポジトリがあるのですが全てにメッセージが表示されています。
よろしくお願いします

[querykuma]

タグにRubyGemsとRubyを追加してください。
手動でGemfile.lockのactionviewを>= 5.1.6.2あるいは6.0.0に書き換えればGitHubのエラーメッセージが消えますが、本当に解決した訳ではありません。
何かの`bundle`コマンドで自動的にGemfile.lockが書き換わるはずだからです。
RubyやRubygems(bundle)に詳しい方に尋ねるのがいいと思います。

Answer 1

$ gem list

...
actionview (6.0.0)
...

でactionviewのバージョンが調べられます。
一覧になかったのでgem install actionviewでインストールしました。

GitHubのメッセージはバージョン5.1.6.1以下のactionviewに脆弱性が見つかったのでactionviewを5.1.6.2以上に上げなさいということです。

GitHubはGemfile.lockを見てバージョンを調べているようです。
actionviewをインストールして更新するだけではなくGemfile.lockのファイルの中身も更新しなければなりません。

bundle updateでGemfile.lockが更新されるはずですが更新されませんでした。

私の環境下におけるエラーは次のとおりです。
あなたの環境下におけるエラーは違うかもしれません。
私の環境下におけるエラーが修正されても、あなたの環境下におけるエラーが修正されなかったら意味がありませんが、載せておきます。

$ bundle update actionview
Fetching gem metadata from https://rubygems.org/.........
Fetching gem metadata from https://rubygems.org/.
Resolving dependencies.....
Bundler could not find compatible versions for gem "ruby NUL":
  In Gemfile:
    ruby NUL

    listen (= 3.1.5) was resolved to 3.1.5, which depends on
      rb-inotify (>= 0.9.7, ~> 0.9) was resolved to 0.10.0, which depends on
        ffi (~> 1.0) was resolved to 1.11.1, which depends on
          ruby NUL (>= 2.2) x64-mingw32

    pg (= 0.20.0) was resolved to 0.20.0, which depends on
      ruby NUL (< 2.5) x64-mingw32

    bootstrap-sass (= 3.4.1) was resolved to 3.4.1, which depends on
      sassc (>= 2.0.0) was resolved to 2.1.0, which depends on
        ruby NUL (>= 2.0.0) x64-mingw32

    sqlite3 (= 1.3.13) was resolved to 1.3.13, which depends on
      ruby NUL (>= 1.8.7) x64-mingw32

Could not find gem 'ruby NUL (< 2.5)', which is required by gem 'pg (= 0.20.0)', in
any of the relevant sources:
  the local ruby installation

ここから先はわかりませんでしたのでRubyやRubygems(bundle)に詳しい方に聞くのがいいと思います。
最初にGemfile.lockのファイルを作った方が手動でactionviewのバージョンを書いたという可能性もあります。

Gemfile.lockにBUNDLED WITH 1.17.2と書いてあるので
$ gem install bundler -v 1.17.2
でインストールしました。