Hallo @jcarmona, unsere eigenen Tools haben ebenfalls diese „verwundbaren“ NPM-Pakete erkannt. Die überwiegende Mehrheit bezieht sich auf Build-/Entwicklungstools. Für die wenigen, die transitiven Abhängigkeiten der clientseitigen JS-App von Discourse sind, sind wir zuversichtlich, dass die Schwachstellen nicht ausnutzbar sind.
Dennoch arbeiten wir ständig daran, unsere Abhängigkeiten zu aktualisieren, und hoffen daher, sie in nicht allzu ferner Zukunft alle zu aktualisieren.