Cómo afrontar la vulnerabilidad de event-stream

Estos últimos días seguramente habrás visto en internet un montón de noticias sobre la vulnerabilidad del paquete de npm event-stream y sobre cómo ese paquete roba bitcoins. Me frustró tener que leer montones de artículos antes de encontrar respuesta a estas preguntas:

• ¿Afecta a mis proyectos?
• ¿Qué tengo que hacer?

Así que he decidido recoger aquí lo que he investigado hoy, en un resumen lo más breve posible, para ayudarte a detectar y solucionar el problema en tus proyectos.

• según la información disponible, el único paquete objetivo afectado por la vulnerabilidad de event-stream es copay-dash. Si no usas copay-dash, tranquilo y sigue leyendo con calma;
• event-stream@3.3.6 tenía una vulnerabilidad en su dependencia flatmap-stream@0.1.1;
• la versión vulnerable de ese paquete ya se ha retirado del registro de npm;
• al retirarla del registro de npm, ahora obtendrás un error al ejecutar npm install (instalación limpia, sin cache) y npm audit;

o

• si te aparece ese error, tu proyecto incluye el paquete vulnerable;
• se vieron afectados muchos paquetes populares, por ejemplo, nodemon;
• busca en tu yarn.lock o package-lock.json el paquete raíz que instala flatmap-stream@0.1.1;
• visita las páginas de GitHub de los paquetes afectados; puede que ya haya una versión nueva con la corrección. En ese caso, basta con instalarla con un comando como npm install nodemon@latest -D;
• para saber más sobre lo ocurrido, lee este artículo