Výzkumníci z firmy Aqua Security zveřejnili výsledky analýzy statistik o 50 tisících nejstahovanějších balíčcích v repozitáři NPM. 7500 (15 %) z nejstahovanějších balíčků se ukázalo být spojeno se zastaralými balíčky a ukončenými projekty. Pro zjednodušení identifikace zastaralých balíčků mezi závislostmi používanými ve svém projektu byla navržena utilita Dependency-Deprecated-Checker, zveřejněná pod licencí MIT.
U 4100 (8,2 %) zkoumaných balíčků v řetězci závislostí byly identifikovány balíčky, které byly oficiálně vyhlášeny v NPM jako zastaralé nebo jsou spojeny se zastaralými projekty (například balíček request je označen jako zastaralý, ale stále se používá jako přímá závislost u 55000 balíčků). 2300 (4,6 %) balíčků je spojeno s repozitáři na GitHubu, které byly převedeny do archivu (vývoj byl ukončen, například repozitář balíčku through je označen jako archivní, ale používá se jako přímá závislost u 3000 balíčků). 1100 (2,2 %) balíčků odkazuje na již neexistující repozitáře, přičemž žádost o ně vrací chybu 404. 3100 (6,2 %) balíčků neobsahuje informace o repozitáři.
V absolutních číslech se výskyt zastaralých balíčků a balíčků bez odkazů na repozitáře v NPM extrapoloval přibližně na 2,1 miliardy stažení za týden. Používání zastaralých balíčků a opuštěných projektů jako závislostí je spojeno s rizikem přítomnosti neopravených zranitelností, zejména s ohledem na praxi některých vývojářů skrývat opravy zranitelností bez přiřazení CVE identifikátoru a bez jasného upozornění na odstranění problému.
Zdroj: opennet.ru
