Should truffle be moved into dev-dependencies?

[Artazor]

Current truffle that is referenced in dependencies has vulnerabilites:

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Critical      │ Command Injection                                            │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ growl                                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=1.10.2                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ erc777                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ erc777 > truffle > mocha > growl                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/146                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ debug                                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ erc777                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ erc777 > truffle > mocha > debug                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/534                       │
└───────────────┴──────────────────────────────────────────────────────────────┘

This leads to false positives while auditing projects which are using erc777 as dependency in npm even if their own truffle is updated.

[0xjac]

@Artazor you're right, good catch. I am cleaning up the repo and updating the reference implementation to reflect the changes of the standard and I'll add the truffle dependency.