问题 #3443💬 已回答提出于 2021年5月7日作者 chilled-capybara0 个反应

Backbone-undo/underscore security advisory

快速解答作者 emyasnikov

我也在想是否需要“骨干撤销”，或者可以用类似的替代。这个套餐已经6年没更新了

问题

版本： v0.17.3 你能重现演示中的bug吗？[x] 是的[ ] 不预期的行为是什么？见下文目前的行为是什么？嵌套依赖使用的某个underscore版本存在已知的安全漏洞。当前版本的grapejs利用了backbone-undo ^0.2.5 https://github.com/artf/grapesjs/blob/d7f773202c72710dd787e2ce418c114c9ef81986/package.json#L20 最新版本通过[npm]（https://www.npmjs.com/package/backbone-undo?activeTab=versions）0.2.5 backbone-undo0.2.5版本对[下划线版本]（https://github.com/osartun/Backbone.Undo.js/blob/d04ee132f4fd00b0f8b3e8b8a5364257f9f3f4c7/package.json#L25）有固定限制;"underscore": "1.4.4 - 1.8.3" 根据这份咨询 https://github.com/advisories/GHSA-cf4h-3jhx-xvhq，该网站似乎存在脆弱性 backbone-undo的0.2.6版确实会[更新此事]（https://github.com/osar...

回答（4）

emyasnikov• 2021年5月11日

我也在想是否需要“骨干撤销”，或者可以用类似的替代。这个套餐已经6年没更新了

artf• 2021年5月18日

这个套餐已经6年没更新了

嗯，除了更新依赖（比如出于安全考虑），它是一个功能完整的库，不需要添加或更新其他东西。

总之，这个[PR]（https://github.com/artf/grapesjs/pull/3439）似乎修复了.lock级别的安全漏洞，但我不确定它们是否会保留在全新安装中。我知道纱线有针对这种情况的“解决”，但不确定NPM里有没有其他替代方案。

chilled-capybara• 2021年5月27日

谢谢你的回复总之，这个[PR]（https://github.com/artf/grapesjs/pull/3439）似乎修复了.lock级别的安全漏洞，但我不确定它们是否保留在全新安装中。我觉得这可能会修复主 grapejs 仓库中的版本，但我不确定它是否限制了通过 backbone-undo导入的版本。如果你通过以下方式建立一个全新的项目新 yarn.lock 仍会提及这两个版本;

GJSBlock• 2026年5月17日

谢谢你报告，@chilled水豚。安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。为你现在：运行“npm审计修复”以查看可用的补丁查看是否有更新的GrapesJS版本，可能已经解决了这个问题如有稳定版，升级前先测试最新稳定版如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试理解风险：在GitHub安全公告中查看具体漏洞详情并非所有高严重性问题都会影响你的代码路径某些漏洞仅在特定条件下触发保持最新：关注GrapesJS的新发布订阅仓库的安全通知团队在发布周期中优先考虑安全更新

在 GitHub 上查看完整讨论 →