Update dependencies to fix npm audit issues

[AlexZeitler]

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ composefile [dev]                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ composefile > parser-yaml > js-yaml                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/788                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ composefile [dev]                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ composefile > write-yaml > js-yaml                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/788                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Denial of Service                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ eslint [dev]                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ eslint > js-yaml                                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/788                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Code Injection                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ composefile [dev]                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ composefile > parser-yaml > js-yaml                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/813                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Code Injection                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ composefile [dev]                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ composefile > write-yaml > js-yaml                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/813                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Code Injection                                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ js-yaml                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ eslint [dev]                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ eslint > js-yaml                                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/813                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


found 6 vulnerabilities (3 moderate, 3 high) in 379 scanned packages

Blocked by PDMLab/composefile#1

[Steveb-p]

Aren't those strictly related to development environment for library only?

[AlexZeitler]

Yes

[Steveb-p]

@AlexZeitler This should do, unless I'm missing something?

EDIT: It's not like package-lock.json has any effect on library users - afaik it should be ignored by npm.

[AlexZeitler]

Isn't the package-lock.json "Turtles All the Way Down"?
I guess it's not used on regular lib install because it's in devDependencies

[Steveb-p]

According to documentation

One key detail about package-lock.json is that it cannot be published, and it will be ignored if found in any place other than the toplevel package.

So it will be ignored and npm will - should - never contain it. package.json should instead declare specifically which versions should be allowed, in most cases adhering to semver specification.

Btw, what's the purpose of winston dependency? It doesn't seem used in index.js?