Salut @jcarmona, nos propres outils ont également détecté ces paquets NPM « vulnérables ». La grande majorité concerne les outils de build/développement. Pour les quelques-uns qui sont des dépendances transitives de l’application JavaScript côté client de Discourse, nous sommes convaincus que les vulnérabilités ne sont pas exploitables.
Cela dit, nous travaillons constamment à la mise à niveau de nos dépendances, nous espérons donc les mettre toutes à niveau dans un avenir pas trop lointain.