CVE-2021-43616 in NPM
Сводка
по VulDB • 06.08.2026
Команда npm ci в версиях npm 7.x и 8.x (включая версию 8.1.3) продолжает установку даже в том случае, если информация о зависимостях в файле package-lock.json отличается от информации в файле package.json. Такое поведение противоречит документации и облегчает злоумышленникам возможность установки вредоносного ПО, которое должно было быть заблокировано благодаря требованию точного совпадения версий в файле package-lock.json.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.