CVE-2021-43616

npm 7.x ve 8.x sürümlerinde 8.1.3'e kadar olan sürümlerdeki npm ci komutu, package-lock.json içindeki bağımlılık bilgileri package.json'dan farklı olsa bile kuruluma devam eder. Bu davranış belgelerle tutarsızdır ve saldırganların package-lock.json içindeki tam sürüm eşleşmesi gereksinimi tarafından engellenmesi gereken kötü amaçlı yazılımları yüklemelerini kolaylaştırır. NOT: npm ekibi bunun bir güvenlik açığı olmadığına inanmaktadır. Bu durum, birinin package-lock.json'dan farklı bağımlılıklara sahip package.json üzerinde sosyal mühendislik yapmasını gerektirir. Bu kullanıcının bağımlılıkları değiştirmek için dosya sistemi veya yazma erişimine sahip olması gerekir. npm ekibi, kötü niyetli aktörlerin sosyal mühendislik yapmasını veya dosya sistemi erişimi elde etmesini engellemenin npm CLI kapsamı dışında olduğunu belirtmektedir.