为什么OWASP Dependency-Check扫描我的React项目时总显示lodash有漏洞？

Mr-利娟提问于 2026-02-16 16:26:24 阅读 15

安全

我用React开发项目时用了lodash，昨天跑OWASP扫描突然提示lodash有高危漏洞CVE-2023-30127。我明明在package.json里装的是最新的4.17.23版本啊，这是怎么回事？

我试过删除node_modules重装依赖，还是报同样的错误。扫描结果截图显示漏洞组件是4.17.21版本，但我的代码里根本没用这个版本…


// package.json里的依赖片段
"dependencies": {
  "react": "^18.2.0",
  "lodash": "^4.17.23"
},
"devDependencies": {
  "@types/lodash": "^4.14.182"
}

用npm ls lodash查依赖树发现，某个子依赖@types/react-redux居然间接拖入了4.17.21版本。但官方说这个漏洞在4.17.22就修复了，我该怎么强制升级这个嵌套依赖？

我来解答赞 2 收藏

反馈

1 条解答

码农予曦 Lv1

问题出在@types/react-redux间接依赖了有漏洞的lodash版本。用resolutions强制升级：

{

  "resolutions": {

    "lodash": "^4.17.23"

  }

}

如果用的是npm，安装npm-force-resolutions插件，然后在package.json里加个preinstall脚本：

"scripts": {

  "preinstall": "npx npm-force-resolutions"

}

删掉node_modules重装依赖，搞定。就这样。

2026-02-16 17:07