Hola @jcarmona, nuestras propias herramientas también han detectado estos paquetes NPM ‘vulnerables’. La gran mayoría se relaciona con herramientas de compilación/desarrollo. Para las pocas que son dependencias transitivas de la aplicación JavaScript del lado del cliente de Discourse, estamos satisfechos de que las vulnerabilidades no sean explotables.
Dicho esto, siempre estamos trabajando para actualizar nuestras dependencias, por lo que esperamos actualizarlas todas en un futuro no muy lejano.