githubに「依存関係の1つに潜在的なセキュリティの脆弱性が見つかりました。」とメッセージが来ていましたが解決方法がわかりません。

Question

<状況>
githubに「依存関係の1つに潜在的なセキュリティの脆弱性が見つかりました。」とメッセージがきていてGemfile.lock のactionviewに脆弱性があり更新しようとしているのですがうまく更新できない状況です。
![
↓

↓

↓

↓

<試したこと>
Gemfile.lockの内容を削除した後

bundle install --without production
```をしましたが変化なし。
```ここに言語を入力
bundle update actionview
```もしましたが変化ありませんでした。

<質問>
どのようにしたらGemfile.lockのactionviewを更新することができますか？
よろしくお願いします

Comments

[hoshi-takanori]

Rails 詳しくないんですが、たぶん Rails 関係の gem はバージョンを統一しないといけない気がするので、rails そのものを更新 (bundle update rails) したらいいのでは。

[ikt_erk122]

回答ありあがとうございます
bundle update railsとしてみたのですがactionviewは更新されませんでした。

$ bundle update rails
・
・
Using actionview 5.1.7
・
・
Bundler attempted to update rails but its version stayed the same
Bundle updated!
Gems in the group production were not installed.

Answer 1

actionview だけじゃなく、rails 関連ライブラリのバージョンはすべて合わせる必要がありそうですね。
参考: https://rubygems.org/gems/rails/versions/5.2.4.2

Gemfile を確認したところ、

gem 'rails',        '~> 5.1.6'

とありましたが、これは 5.1.6 以上 5.2.0 未満の意味になりますので、bundle update rails してもバグ修正版の 5.2.4.2 にはなりません。これを ~> 5.2.4 とかに変えて bundle update rails すればいいと思います。
参考: セマンティック・バージョニングと、Gemfileのバージョン指定方法 - Gemfileでよく見る~>を使いこなす - Qiita

Comments

[ikt_erk122]

解決できました。
ありがとうございました。