@UXIIFO хочется начать этот вопрос с «какого хуя?!», потому что я частично уже нашел ответ.
но задам вопрос с начала:
если в package-lock.json фигурирует packageA, который требует packageC="^1.0.1" и packageB, который требует packageC="^2.0.0", то какая версия packageC в реальности установлена? Только packageC="^2.0.0" или как-то обе?