A vulnerável está na árvore

O package.json da pampa-store lista as dependências diretas. O aviso em advisories.md, porém, aponta um pacote que nem aparece no package.json: ele é transitivo, puxado por uma dependência direta. O arquivo tree.txt tem a árvore completa (npm ls --all), onde a indentação mostra quem puxa quem.

Descubra qual pacote da árvore está numa versão vulnerável segundo o aviso.

Responda no formato de flag com o nome do pacote, por exemplo tocaia{ini-parse} (que não é a resposta).