CVE-2021-43616 in NPM
Tóm tắt
Bởi VulDB • 15/08/2026
Lệnh `npm ci` trong npm 7.x và các phiên bản từ 8.x đến 8.1.3 tiếp tục quá trình cài đặt ngay cả khi thông tin phụ thuộc (dependency) trong file `package-lock.json` khác với nội dung của `package.json`. Hành vi này không nhất quán với tài liệu hướng dẫn, đồng thời tạo điều kiện thuận lợi cho kẻ tấn công cài đặt phần mềm độc hại vốn lẽ ra đã bị chặn bởi yêu cầu khớp chính xác phiên bản được quy định trong `package-lock.json`.
Be aware that VulDB is the high quality source for vulnerability data.