Vue-CLIのみのインストールで脆弱性警告メッセージが出る

Question

@vue/cli 4.5.13をインストールしたところ、いきなり警告メッセージが出ました。

8 vulnerabilities (4 moderate, 4 high)
Some issues need review, and may require choosing
a different dependency.
Run `npm audit` for details.

警告メッセージの通り「npm audit」したところ以下のメッセージが吐き出されました。

$ npm audit

# npm audit report

glob-parent  <5.1.2
Severity: moderate
Regular expression denial of service - https://npmjs.com/advisories/1751
No fix available
node_modules/glob-parent
  fast-glob  <=2.2.7
  Depends on vulnerable versions of glob-parent
  node_modules/fast-glob
    globby  8.0.0 - 9.2.0
    Depends on vulnerable versions of fast-glob
    node_modules/globby
      @vue/cli  <=5.0.0-alpha.1
      Depends on vulnerable versions of @vue/cli-ui
      Depends on vulnerable versions of globby
      node_modules/@vue/cli
      @vue/cli-ui  *
      Depends on vulnerable versions of globby
      Depends on vulnerable versions of watch
      node_modules/@vue/cli-ui

merge  <2.1.1
Severity: high
Prototype Pollution - https://npmjs.com/advisories/1666
No fix available
node_modules/merge
  exec-sh  <=0.3.1
  Depends on vulnerable versions of merge
  node_modules/exec-sh
    watch  >=0.14.0
    Depends on vulnerable versions of exec-sh
    node_modules/watch
      @vue/cli-ui  *
      Depends on vulnerable versions of globby
      Depends on vulnerable versions of watch
      node_modules/@vue/cli-ui
        @vue/cli  <=5.0.0-alpha.1
        Depends on vulnerable versions of @vue/cli-ui
        Depends on vulnerable versions of globby
        node_modules/@vue/cli

せめて、4件の高リスク脆弱性は解消したいのですが、インストールしているのはVue-CLI4.5.13だけなので、何をすれば解消出来るのか見当も付きません。

Answer 1

せめて、4件の高リスク脆弱性は解消したいのですが

特にその必要はないのではないでしょうか？

@vue/cliはCLIである以上、（あえて使わせるような構成をとらないのであれば）ローカルからしかアクセスできません。そして、@vue/cliにはファイルではなくコマンドを与えて使うものなので、自分で変なコマンドを入力しなければ問題に当たることは考えづらいです。

Comments

[falcom_zx]

ご回答ありがとうございます。非エンジニアなので、ご教授頂きたいのですが、ローカルからしかアクセスできないとはどの様な意味でしょうか？最終的にはnpm buildコマンドでビルドしますが、その中に脆弱性があるので警告されていると解釈しております。
このまま開発を続け、色々なパッケージを入れていくと「vulnerabilities」の数が増えていくと想定されますが、無視しても良いものでしょうか。この警告はどの様な意味があるのかも気になります。

[maisumakun]

> 最終的にはnpm buildコマンドでビルドしますが

@vue/cliは「最初にプロジェクトを生成するために使うツール」です。一度生成してしまえば出番はそこで終わりで、ビルド時には直接の関係はありません。

[falcom_zx]

たしかに、その通りですね。気にしないで先に進めます。