# Nome e versão dos pacotes Npm relatados em vulnerabilidade **URL:** \ **Category:** Product Support\ **Created:** [Setembro 6, 2024, 12:48pm UTC](https://meta.discourse.org/t/npm-packages-name-and-version-reported-in-vulnerability/325303 "2024-09-06T12:48:46Z")\ **Posts on this page:** 1\ **Showing post:** 5
**Author:** ![jrack](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/jrack/32/326934_2.png) [@jrack](https://meta.discourse.org/u/jrack)\ **Post date:** [Dezembro 13, 2024, 12:28pm UTC](https://meta.discourse.org/t/npm-packages-name-and-version-reported-in-vulnerability/325303/5 "2024-12-13T12:28:32Z")
Vimos algo semelhante com o JFrog. Isso parece ser um nome ambíguo para um pacote não escopado e não um problema real. O Discourse tem um [pacote em seu repositório chamado float-kit](https://github.com/discourse/discourse/blob/main/app/assets/javascripts/float-kit/package.json), mas isso não tem nada a ver com o float-kit no npmjs. Os outros são basicamente o mesmo. Idealmente, até mesmo esses pacotes locais seriam escopados, mas eles são referenciados a partir do workspace, então o 1.0.0 que ele está puxando é de seu próprio repositório. Não há push de proveniência que eu tenha visto e o JFrog apenas olha nomes e versões em muitos casos, então isso deve cair em seu processo de tratamento de falsos positivos com o controle. --- _[View the full topic](https://meta.discourse.org/t/npm-packages-name-and-version-reported-in-vulnerability/325303)._