npm auditでの具体的なエラー解決方法が知りたいです。

Question

前提・実現したいこと

現在、Node.js, vue.jsを用いてamazonサイトのクローンアプリを作成しています。
npm i mongooseを実装した際に、以下のエラ〜メッセージが表示されました。

発生している問題・エラーメッセージ

+ mongoose@5.7.12
removed 36 packages, updated 1 package and audited 924897 packages in 25.49s

10 packages are looking for funding
  run `npm fund` for details

found 1 low severity vulnerability
  run `npm audit fix` to fix them, or `npm audit` for details

該当のソースコード

                       === npm audit security report ===                        
                                                                                
┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ mem                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.0.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ npm                                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ npm > libnpx > yargs > os-locale > mem                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1084                            │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 1 low severity vulnerability in 924897 scanned packages
  1 vulnerability requires manual review. See the full report for details.

試したこと

npm audit, npm audit fixをコマンド入力し上記の情報を取得しました。そして、denial of serviceと表示されたのでサービスが停止されたと判断し、npm uninstall memをコマンド入力したり、ncu, ncu- uを入力して問題解決に努めましたが解決に至りませんでした。
また、こちらのサイトを参考にしましたが解決に至りませんでした。。

補足情報（FW/ツールのバージョンなど）

npm -v -> 6.13.1

Comments

[2KOH]

手元の環境（MacOS, node v12.13.0, npm 6.13.1）で試してみましたが、エラーもなく npm で mongoose をインストールできました。
もしかしたら mongoose ではなく、他のパッケージがエラー原因である可能性があります。
別ディレクトリを作って、npm init をして、mongoose だけをインストールして、エラーが出るかを試してみてください。

[2KOH]

というか、よくみたら Dependency of が npm なんですね。
npm update -g
あたりで解決したりしませんか？

[toshihirokato]

御回答ありがとうございます！
早速、実装してみます。

[toshihirokato]

mongooseがちゃんとインストールされました！
ありがとうございました????‍♂️????

Answer 1

denial of serviceと表示されたのでサービスが停止されたと判断し

この判断が間違っています。あくまでnpm auditは脆弱性の判断ツールですので、起こすのが難しい脆弱性も上がってきます。

そして、npm updateすれば新しいバージョンが入って解決することもありますが、ライブラリ内で古いバージョンにロックインしていると解消できないこともあります。

そもそもnpmを外部から実行することは通常行いませんので、DoSの脆弱性があっても実際に影響を及ぼす危険性は低いです。npm updateして解決しなければ放置、でもいいかと思います。

Comments

[toshihirokato]

御指南いただきありがとうございます！
承知いたしました。