Veo una vulnerabilidad en asíncrono y quiero actualizarlo a 3.2.2 . Este es el árbol de dependencias si hago npm list async

 └─┬ webpack-dev-server@4.8.1 └─┬ portfinder@1.0.28 └── async@2.6.4

Entonces, mirando los npmdocs , intenté agregar anular en package.json de la siguiente manera.

 { "name": "some application", "scripts": {...}, "dependencies": {...}, "overrides": { "webpack-dev-server": { "portfinder": { "async": "3.2.2" } } }, "devDependencies": {...} }

Pero cuando npm install , no actualicé la versión asíncrona a 3.2.2 y aún muestra la versión anterior en pacakge-lock.json. Eliminé el paquete webpack-dev-server de devDependencies pero después de ejecutar npm install me quedo vacío en npm list async

 └── (empty)

¿Alguna idea de qué estoy haciendo mal?