npm

はじめに Axiosにおける主要な脆弱性の変遷 1. SSRFと認証情報の漏洩（CVE-2025-27152） 2. リソース枯渇によるDoS攻撃（CVE-2025-58754） 主要な脆弱性一覧（2025-2026） 2026年3月31日のサプライチェーン攻撃 1. 侵害のタイムラインと国内への影響 2. 「Silent Killer」としての隠蔽工作 今後の脅威動向 結論 引用文献 はじめに 現代のソフトウェア開発において、JavaScriptエコシステムの重要性は論を待たない。その中でもHTTPクライアントライブラリであるAxiosは、世界中で最も広く利用されているOSS（オープンソース…

関連記事 概要 参考情報 関連記事 GitHub - devlights/blog-summary: ブログ「いろいろ備忘録日記」のまとめ · GitHub 概要 以下、自分用のメモです。 ここ最近 axios の件なので、どこもnpmのセキュリティについて設定見直すことが多くなってきていると思います。 以下に素晴らしい記事をアップしてくださった方がいらっしゃったので、忘れないようにメモメモ。感謝。 zenn.dev 記事内でいろいろな設定項目について記載されています。とても参考になります。 本来であれば、記事内の全ての項目についてしっかりと設定するべきですが、案件上の都合で全部設定することが…

はじめに peerDependenciesとは なぜdependenciesではなくpeerDependenciesなのか npmのバージョンによる挙動の違い npm v3〜v6 npm v7以降 overridesとの関連 まとめ 参考 はじめに 前回の記事でoverridesについて紹介しましたが、実際にoverridesを使う中でインストールしたライブラリのpeerDependenciesに指定されているライブラリのバージョンも揃える必要がある場面に遭遇しました。 その際に「そもそもpeerDependenciesって何だろう？」と思い調べてみましたので、今回はpeerDependenc…

はじめに overridesとは 基本構文 すべての箇所で特定バージョンを強制 特定の親パッケージ配下のみ上書きする ネストした指定 $ プレフィックスで直接依存のバージョンを参照する 主なユースケース 推移的依存の脆弱性対応 peerDependenciesの競合解消 使う前に知っておくべきこと 運用上のベストプラクティス なぜ上書きしたのかを記録する 定期的に見直す テストを通してから適用する まとめ 参考 はじめに プロジェクトが依存しているパッケージの、さらにその先の依存(推移的依存、transitive dependencies)に脆弱性が見つかった。だがメンテナーの対応はまだ先にな…

備忘録 TLDR $ npm_config_access=public npm something 以下駄文 最近業務でn8nを触っている。 n8nのワークフロー内で、Firebase Authenticationを使用して作成したTokenを認証に使うAPIを叩きたいケースが発生しており、以下のようなパッケージを作成しリリースした。 github.com いつもであれば npm publish --access=public という風に scoped パッケージを public にしてリリースしている。 そんな中、n8n のカスタムノードを作成する際に使用する @n8n/node-cli が…

renderCVという履歴書を作るのに便利なパッケージがあります。 ただ、日本語の履歴書を作りこむのが面倒で、これなら専用のパッケージにしてしまおう、と思ってつくりました。 厚生労働省が出している履歴書様式例に近い履歴書をyamlからPDF出力できるCLIツールです。 ↓今回作ったもの github.com 使い方 1. 経歴データの作成 2. 実行（PDF生成） おまけ 使い方 1. 経歴データの作成 まず、自分の経歴情報を記述したyamlファイルを用意します。 フォーマットは決まっているので、それに沿って埋めるだけです。 yamlの例 config: font_size: 11pt yea…

要旨 tsc のパスエイリアスはモジュール解決のために存在するもので、出力結果を書き換えるものではない 対策をしなければ、型定義ファイルにパスエイリアスがそのまま残り、npm パッケージとして公開されてしまう これにより、使用側で型の解決が正しく動作しないなどの問題が発生する 出力結果に含まれるパスエイリアスを書き換えたいなら、tsc 以外のツールを使う必要がある 今回は tsc-alias パッケージを使用して、ビルド後にパスエイリアスを相対パスに書き換える方法を採用した はじめに これはわたしが実際に体験した話なんですけどね。 クラウドサインには Delta Wing UI という、内製の…