Va bene non aggiornare devdependencies?

Hanno importanza. Il mancato aggiornamento di librerie e dipendenze lascerà il tuo software vulnerabile. Ciascuna delle librerie fa parte della superficie di attacco.

A meno che un aggiornamento non rompa il codice, aggiorna non appena l'aggiornamento è disponibile. Se l'aggiornamento interrompe il codice, correggi il codice e aggiorna. Ma non lasciare mai una libreria obsoleta con bug di sicurezza nei tuoi progetti. Anche se usato solo per lo sviluppo. Se un giorno ti dimentichi di disabilitarli, sei in pericolo.

Dipende da cosa sono le dipendenze e da cosa sono usate.

Anche se una dipendenza non viene utilizzata in produzione, ad esempio se viene utilizzata come parte del processo di generazione, è possibile che possa contenere una vulnerabilità che influisce sul codice di produzione.

Allo stesso modo, una vulnerabilità in uno strumento di sviluppo potrebbe potenzialmente consentire a utenti malintenzionati di compromettere il PC di sviluppo se tale strumento elabora dati di input non attendibili o si connette a server remoti.

Quindi, anche se è vero che le maggior "vulnerabilità" nelle dipendenze di sviluppo non hanno alcun impatto notevole sulla sicurezza, a meno che non stiate valutando manualmente ciascuna vulnerabilità identificata per determinare il suo impatto sul progetto probabilmente è meglio tenere tutto aggiornato. C'è un piccolo svantaggio e le versioni più recenti degli strumenti di sviluppo di solito offrono molti altri vantaggi oltre a una migliore sicurezza.