CVE-2021-43616

npm 7.x və 8.x versiyalarından 8.1.3-ə qədər olan versiyalarda npm ci əmri, package-lock.json faylındakı asılılıq məlumatları package.json faylından fərqləndiyi halda belə quraşdırma prosesini davam etdirir. Bu davranış sənədləşmə ilə ziddiyyət təşkil edir və hücumçular üçün package-lock.json faylındakı dəqiq versiya uyğunluğu tələbi ilə bloklanmalı olan zərərli proqram təminatını quraşdırmaq prosesini asanlaşdırır. QEYD: npm komandası bunun boşluq olmadığını hesab edir. Bu, kimsənin package-lock.json-dan fərqli asılılıqlara malik olan package.json faylını sosial mühəndislik vasitəsilə manipulyasiya etməsini tələb edərdi. Həmin istifadəçi asılılıqları dəyişmək üçün fayl sistemi və ya yazma girişinə malik olmalıdır. npm komandası bildirir ki, bədniyyətli aktorların sosial mühəndislik etməsinin və ya fayl sisteminə giriş əldə etməsinin qarşısının alınması npm CLI-ın səlahiyyətləri xaricindədir.