CVE-2021-43616

总结

npm 7.x 和 8.x 至 8.1.3 版本中的 `npm ci` 命令，即使在 package-lock.json 中的依赖信息与 package.json 不一致时，仍会继续执行安装。此行为与文档描述不符，并使攻击者更容易安装本应被 package-lock.json 中精确版本匹配要求所阻止的恶意软件。注意：npm 团队认为这并非漏洞。这需要有人通过社会工程手段诱导用户修改 package.json，使其依赖与 package-lock.json 不同。该用户必须拥有文件系统或写入权限才能更改依赖。npm 团队表示，防止恶意行为者进行社会工程攻击或获取文件系统访问权限超出了 npm CLI 的职责范围。

• CVE-2021-43616PoC

  CVE-2021-43616的演示：npm `ci`命令忽略package-lock.json，导致意外安装依赖版本和供应链风险。