A faixa puxou a versão ruim

No package.json da pampa-store, a dependência date-tools está declarada como faixa (^1.2.0), não como versão fixa. Quando a equipe rodou um npm install novo, a faixa resolveu sozinha para a versão mais nova que cabia, e essa versão caiu dentro do aviso de advisories.md.

Você tem as versões publicadas (published-versions.txt), o aviso e o lockfile resultante (package-lock.json). Descubra qual versão de date-tools o install trouxe e que agora está vulnerável.

Responda no formato de flag com a versão, por exemplo tocaia{1.2.0} (que não é a resposta).