Investigation: Dependency audit/cleanup

[sirugh]

Goal

• We are multiple major versions behind several of our dependencies. Identify outdated dependencies and upgrade.

• Clean up unused dependencies in sub-packages such as venia-concept. ie lodash.over.

[sirugh]

James Zetlen:spiral_calendar_pad:  29 minutes ago
Yeah that's exactly what I would have advised: a ticket for a dependency audit

James Zetlen:spiral_calendar_pad:  29 minutes ago
That said, venia-concept should have quite a few dependencies it doesn't directly use

James Zetlen:spiral_calendar_pad:  28 minutes ago
because venia-ui and the other packages only list them as peerDependencies!

James Zetlen:spiral_calendar_pad:  28 minutes ago
this is by design, so that the consuming app venia can have final control over how dependencies are resolved

Stephen Rugh:spiral_calendar_pad:  3 minutes ago
by consuming app you mean venia-concept, in our case? (edited)

James Zetlen:spiral_calendar_pad:  < 1 minute ago
Yeah

[zetlen]

I wouldn't worry about the peerDependencies issue. It doesn't change the fact that we need to do a dependency audit. I was pre-emptively worrying about confusion, but it's not a thing.

[dani97]

We may have to consider refactoring some dependencies. eg. debug-error-middleware in buildpack. It is not in active development or support for months.
matthisk/debug-error-middleware#2

[dani97]

Ran security update found 23 vulnerabilities mostly becuase of handlebarjs

Updated Lerna vulnerablities dropped to 10.

yarn audit v1.19.1
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.3.0 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/create-pwa │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/create-pwa > @magento/pwa-buildpack > │
│ │ @magento/upward-js > debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1164 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.3.0 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/pwa-buildpack │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/pwa-buildpack > @magento/upward-js > │
│ │ debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1164 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.3.0 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/upward-js │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/upward-js > debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1164 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.3.0 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/create-pwa │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/create-pwa > @magento/pwa-buildpack > │
│ │ debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1164 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high │ Prototype Pollution │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.3.0 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/pwa-buildpack │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/pwa-buildpack > debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1164 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.4.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/create-pwa │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/create-pwa > @magento/pwa-buildpack > │
│ │ @magento/upward-js > debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1300 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.4.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/pwa-buildpack │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/pwa-buildpack > @magento/upward-js > │
│ │ debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1300 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.4.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/upward-js │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/upward-js > debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1300 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.4.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/create-pwa │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/create-pwa > @magento/pwa-buildpack > │
│ │ debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1300 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate │ Denial of Service │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=4.4.5 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @magento/pwa-buildpack │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @magento/pwa-buildpack > debug-error-middleware > handlebars │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://www.npmjs.com/advisories/1300 │
└───────────────┴──────────────────────────────────────────────────────────────┘
10 vulnerabilities found - Packages audited: 933926
Severity: 5 Moderate | 5 High
✨ Done in 4.68s.