Security vulnerabilities in latest version 2.3.4

[mjgs]

I am running latest version 2.3.4 and npm audit is showing security vulnerabilities:

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ parse-domain                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ parse-domain > jest > jest-cli > @jest/core >                │
│               │ @jest/reporters > istanbul-reports > handlebars              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1300                            │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary Code Execution                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ parse-domain                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ parse-domain > jest > jest-cli > @jest/core >                │
│               │ @jest/reporters > istanbul-reports > handlebars              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1316                            │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Arbitrary Code Execution                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ parse-domain                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ parse-domain > jest > jest-cli > @jest/core >                │
│               │ @jest/reporters > istanbul-reports > handlebars              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1324                            │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ parse-domain                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ parse-domain > jest > jest-cli > @jest/core >                │
│               │ @jest/reporters > istanbul-reports > handlebars              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://npmjs.com/advisories/1325                            │
└───────────────┴──────────────────────────────────────────────────────────────┘

[mjgs]

I was able to clear these vulnerabilities by running npm audit fix

[jhnns]

Thanks for reporting it. This is related to #89. We will remove Jest as regular dependency in future versions.

Currently, Jest (and its dependencies) are only used and executed on npm install, so the risk of this security vulnerability is really low (I doubt that someone could exploit it in this case).

[github-actions]

🎉 This issue has been resolved in version 3.0.0 🎉

The release is available on:

• GitHub release
• npm package (@latest dist-tag)

Your semantic-release bot 📦🚀