Request: Fix npm security vulnerability in @fitbit/sdk-cli

[kimri]

When running npm-install, npm automatically detected this security vulnerability in the @Fitbit/sdk-cli package, due to a dependency on an outdated version of lodash. It looks like the fix is straightforward (update the version of lodash used by sdk-cli, see: https://www.npmjs.com/advisories/577) so I'd like to request this change. Thanks.

npm report:

                       === npm audit security report ===

┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @fitbit/sdk-cli [dev]                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @fitbit/sdk-cli > vorpal > inquirer > lodash                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 1 low severity vulnerability in 1796 scanned packages
  1 vulnerability requires manual review. See the full report for details.

[JonFitbit · Accepted solution]

Thanks for the feedback, we'll get this one updated. Please use security@fitbit.com for any other security related issues.

[kimri]

Thanks a lot for the quick response 👍 🙂 Will use the security email in the future, thanks.

[Guckuck]

Hi,

I have just installed the cli as described here: https://dev.fitbit.com/build/guides/command-line-interface/

But I cannot install the package because of security problems (see below). And there is an unresolved dependency: fp-ts@2.2.0

Best regards

Kay

Low │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.17.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @Fitbit/sdk-cli [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @Fitbit/sdk-cli > vorpal > inquirer > lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://npmjs.com/advisories/577 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.17.11 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @Fitbit/sdk-cli [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @Fitbit/sdk-cli > vorpal > inquirer > lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://npmjs.com/advisories/782 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.17.12 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @Fitbit/sdk-cli [dev] │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @Fitbit/sdk-cli > vorpal > inquirer > lodash │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://npmjs.com/advisories/1065