8.2% от най-популярните изтегляния в NPM се падат на остарели пакети

Изследователи от Aqua Security публикуваха резултатите от анализа на статистиката за 50 хиляди от най-изтегляните пакети в репозитория NPM. 7500 (15%) от най-изтегляните пакети са свързани с остарели пакети и прекратени проекти. За улесняване на определянето на остарелите пакети сред зависимостите, използвани в проектите, е предложен инструментът Dependency-Deprecated-Checker, публикуван под лиценз MIT.

При 4100 (8.2%) от разгледаните пакети в веригата на зависимостите са идентифицирани пакети, официално обявени в NPM за остарели или свързани с остарели проекти (например, пакетът request е отбелязан като остарял, но продължава да се използва като пряма зависимост от 55000 пакета). 2300 (4.6%) пакета са свързани с репозитории в GitHub, които са преминали в статус архивни (разработката е прекратена, например, репозиторият на пакета through е обозначен като архивен, но се използва като пряка зависимост от 3000 пакета). 1100 (2.2%) пакета показват връзки към вече несъществуващи репозитории, достъпването на които води до грешка 404. 3100 (6.2%) пакета не съдържат информация за репозитория.

В абсолютни числа разпространението на остарели пакети и пакети без връзки към репозитории в NPM се екstrapолира на приблизително 2.1 милиарда изтегляния на седмица. Използването на остарели пакети и изоставени проекти като зависимости е свързано с риска от наличие на неотстранени уязвимости, особено с оглед на практиките на някои разработчици за тихо отстраняване на уязвимости без присвояване на CVE идентификатор и без явен акцент върху решаването на проблема.

Източник: opennet.ru