Audit errors in node-fetch and object-path

[fabb]

Bug report

Describe the bug

There are audit errors for 2 transitively used dependencies.

To Reproduce

1. Install next.js 9.5.5 into an npm project
2. Execute npm audit

Expected behavior

No audit errors should be shown

Actual behavior

`npm audit` output

``` ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/search │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/search > next > @ampproject/toolbox-optimizer > │ │ │ @ampproject/toolbox-core > cross-fetch > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/jobs │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/jobs > next > @ampproject/toolbox-optimizer > │ │ │ @ampproject/toolbox-core > cross-fetch > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/search │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/search > next > @ampproject/toolbox-optimizer > │ │ │ @ampproject/toolbox-runtime-version > │ │ │ @ampproject/toolbox-core > cross-fetch > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/jobs │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/jobs > next > @ampproject/toolbox-optimizer > │ │ │ @ampproject/toolbox-runtime-version > │ │ │ @ampproject/toolbox-core > cross-fetch > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/search │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/search > next > @ampproject/toolbox-optimizer > │ │ │ @ampproject/toolbox-validator-rules > cross-fetch > │ │ │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/jobs │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/jobs > next > @ampproject/toolbox-optimizer > │ │ │ @ampproject/toolbox-validator-rules > cross-fetch > │ │ │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/search │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/search > next > @ampproject/toolbox-optimizer > │ │ │ cross-fetch > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/jobs │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/jobs > next > @ampproject/toolbox-optimizer > │ │ │ cross-fetch > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/search │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/search > next > @ampproject/toolbox-optimizer > │ │ │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ low │ Denial of Service │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=2.6.1 <3.0.0-beta.1|| >= 3.0.0-beta.9 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/jobs │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/jobs > next > @ampproject/toolbox-optimizer > node-fetch │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1556 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ high │ Prototype Pollution │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ object-path │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=0.11.5 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/search │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/search > next > resolve-url-loader > │ │ │ adjust-sourcemap-loader > object-path │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1573 │ └───────────────┴──────────────────────────────────────────────────────────────┘ ┌───────────────┬──────────────────────────────────────────────────────────────┐ │ high │ Prototype Pollution │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Package │ object-path │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Patched in │ >=0.11.5 │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Dependency of │ @wh/jobs │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ Path │ @wh/jobs > next > resolve-url-loader > │ │ │ adjust-sourcemap-loader > object-path │ ├───────────────┼──────────────────────────────────────────────────────────────┤ │ More info │ https://www.npmjs.com/advisories/1573 │ └───────────────┴──────────────────────────────────────────────────────────────┘ 12 vulnerabilities found - Packages audited: 1904 ```

System information

• OS: macOS
• Version of Next.js: 9.5.5
• Version of Node.js: 12.18.4

Additional context

Failing audit errors break our CI pipeline. Currently the only way to work around this is to do manual changes to package-lock.json.

[kachkaev]

Re node-fetch: see #17250 & #17416

Re object-path: see bholloway/resolve-url-loader#170 & bholloway/resolve-url-loader#172

[kachkaev]

[email protected] is out, someone just needs to bump it in next → package.json:

next.js/packages/next/package.json

Line 111 in a6ef245

"resolve-url-loader": "3.1.1",

This should fix the issue with object-path.

I can submit a PR tonight (GMT), but I guess someone else will be faster 😁

[Kush28]

Facing the same issue,

Someone needs to update these 2 packages.
@timneutkens Can you see this.

[balazsorban44]

This issue has been automatically locked due to no recent activity. If you are running into a similar issue, please create a new issue with the steps to reproduce. Thank you.