Olá @jcarmona, nossas próprias ferramentas também detectaram esses pacotes NPM ‘vulneráveis’. A grande maioria está relacionada a ferramentas de compilação/desenvolvimento. Para os poucos que são dependências transitivas do aplicativo JavaScript do lado do cliente do Discourse, estamos satisfeitos que as vulnerabilidades não sejam exploráveis.
Dito isso, estamos sempre trabalhando para atualizar nossas dependências, então esperamos atualizá-las todas em um futuro não muito distante.