security issue: old node-pre-gyp version

[rogierschouten]

Solution: use node-pre-gyp version 0.9.0 or later

Problem:

Run these commands:

npm install -g nsp
cd my/module/that/uses/sqlite3
nsp check

Output: security vulnerability

$ nsp check
(+) 1 vulnerability found
┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Prototype pollution attack                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ hoek                                                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 4 (Medium)                                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.16.3                                                             │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 4.2.0 || >= 5.0.0 < 5.0.3                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                        │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ my-module > [email protected] > [email protected] >     │
│            │ [email protected] > [email protected]                                           │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/566                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

[rogierschouten]

See also mapbox/node-pre-gyp/issues/346

[thom-nic]

I think this can be closed: sqlite3 v4.0.0 uses [email protected] and no longer depends on hoek.

[rogierschouten]

@thom-nic yes you are right