Wie kann das NPM-Paket Tar mit einer hohen Sicherheitsanfälligkeit in Bezug auf das Überschreiben beliebiger Dateien behoben werden, wenn das Paket auf dem neuesten Stand ist?

Ich habe gerade Flickity von NPM installiert und nach dem Ausführen von npm audit Einen NPM-Audit-Sicherheitsbericht erhalten, der besagt, dass ich ein Problem mit hoher Sicherheitsanfälligkeit in Bezug auf Überschreiben beliebiger Dateien habe. ) on package tar das ist eine Abhängigkeit von node-sass wie Sie hier sehen können:

High......................... Arbitrary File Overwrite                                     
Package...................... tar                                                          
Patched in................... >=4.4.2                                                      
Dependency of................ node-sass [dev]                                              
Path......................... node-sass > node-gyp > tar                                   
More info.................... https://npmjs.com/advisories/803 

Das Ausführen von npm audit fix Hat das Problem nicht gelöst, da die Sicherheitsanfälligkeit manuell überprüft werden muss. Die Empfehlung unter dem Link more info besagt, dass ein Upgrade auf Version 4.4.2 Oder höher durchgeführt werden soll. Als ich npm show tar version Ausführte, wurde mir klar, dass ich die Version 4.4.8 Ausführe, was mich verwirrte. Ich ging zu package-lock.json und stellte fest, dass node-gyp, eine Abhängigkeit von node-sass, die tar-Version verwendet ^ 2.0.0

Das verwirrt mich, da ich viele verschiedene Tar-Versionen als Abhängigkeit von anderen Paketen gesehen habe, aber dies node-sass > node-gyp > tar version Ist das einzige unten v4.4.2. Warum funktioniert es so, warum muss ich es manuell reparieren und wie kann ich dieses eine Teerpaket manuell reparieren/aktualisieren ?