Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 即使 package-lock.json 中的相依性資訊與 package.json 不同，npm 7.x 和 8.x 至 8.1.3 版本中的 npm ci 命令仍會繼續執行安裝。此行為與說明文件不一致，這讓攻擊者更容易安裝本應透過 package-lock.json 中的版本完全符合要求封鎖的惡意軟體。注意：npm 團隊認為這不是弱點。這需要有人以社交工程的方式入侵其中的相依性與 package-lock.json 不同的 package.json。該使用者必須擁有檔案系統或寫入權限，才能變更相依性。
    npm 團隊表示，防止惡意執行者進行社交工程入侵或取得檔案系統存取權超出了 npm CLI 的範圍。(CVE-2021-43616)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補弱點：CVE-2021-43616

critical Nessus Plugin ID 224240

版本 1.10