npmパッケージの中で、node-forge というライブラリに脆弱性があったので、それだけアップデートしようとしました。
% yarn upgrade node-forge
ところが、yarn.lock には何も変化なし。
webpack-dev-server が selfsigned に依存していて、selfsigned が node-forge に依存しているという関係です。
% yarn upgrade selfsigned
これでも何も起きず。
yarn.lock を直接開き、該当するパッケージの情報を削除してから yarn install
するとうまくいきました。
yarn.lock
- node-forge@0.9.0:
- version "0.9.0"
- resolved "https://registry.yarnpkg.com/node-forge/-/node-forge-0.9.0.tgz#d624050edbb44874adca12bb9a52ec63cb782579"
- integrity sha512-7ASaDa3pD+lJ3WvXFsxekJQelBKRpne+GOVbLbtHYdd7pFspyeuJHnWfLplGf3SwKGbfs/aYl5V/JCIaHVUKKQ==
- selfsigned@^1.10.7:
- version "1.10.7"
- resolved "https://registry.yarnpkg.com/selfsigned/-/selfsigned-1.10.7.tgz#da5819fd049d5574f28e88a9bcc6dbc6e6f3906b"
- integrity sha512-8M3wBCzeWIJnQfl43IKwOmC4H/RAp50S8DF60znzjW5GVqTcSe2vWclt7hmYVPkKPlHWOu5EaWOMZ2Y6W8ZXTA==
参考: https://github.com/yarnpkg/yarn/issues/4986#issuecomment-395036563