icatalina/cve-2021-43616CVE-2021-43616のデモンストレーション：npmの`ci`コマンドがpackage-lock.jsonを無視し、意図しない依存関係バージョンのインストールとサプライチェーンリスクを引き起こします。
CVE-2021-43616 を示すリポジトリ / https://github.com/npm/cli/issues/2701
node_modules フォルダを削除し、npx npm@8 ci を実行すると、npm が package-lock.json で 2.0.0 を要求しているにもかかわらず、バージョン 2.2.x (このコミット時点では 2.2.16) をインストールする様子がわかります。
cat node_modules/shortid/package.json
元のインストール時の node_modules をコミットしてあるので、npm ci 実行後に問題が明らかになります。