Безопасно ли использовать GulpJS 3.9.1 в локальной сети?

Question

Я уже некоторое время использую Gulp и недавно заметил, что при установке или обновлении пакетов появляются предупреждения безопасности. Я запускаю аудит и получаю много информации, но я не уверен, в частности, нужно ли это использовать на производственном сервере или это также относится к локальному серверу.

Я также попытался использовать gulp 4, и это кажется нормальным, но мне было просто любопытно на версии 3.9.1, так как все еще есть некоторые различия.

Я предполагаю, что короткий вопрос - безопасен ли gulp 3.9.1 для использования в локальной среде или это создает проблему безопасности?

Answer 1

Я бы сказал, что это безопасно. Вот мои мысли об обнаруженных уязвимостях:

• Есть 4 Высокие уязвимости типа Regular Expression Denial of Service для модуля minimatch. Они в основном связаны с пользовательским вводом, Gulp - просто инструмент сборки, я не понимаю, как это может повлиять на это

• Низкая уязвимость типа Prototype Pollution для модуля lodash. Не могу сказать наверняка, но это может повлиять на вас, если вы загрузите в сборку несколько неизвестных внешних модулей, иначе все будет в порядке.

В любом случае, обновление до Gulp 4 должно снять все сомнения.