{"id":113035,"date":"2024-01-21T23:28:08","date_gmt":"2024-01-21T21:28:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/8-2-naibolee-populyarnyh-zagruzok-v-npm-prihoditsya-na-ustarevshie-pakety"},"modified":"2024-01-21T23:28:08","modified_gmt":"2024-01-21T21:28:08","slug":"8-2-naibolee-populyarnyh-zagruzok-v-npm-prihoditsya-na-ustarevshie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/8-2-naibolee-populyarnyh-zagruzok-v-npm-prihoditsya-na-ustarevshie-pakety","title":{"rendered":"8,2 % der beliebtesten Downloads in NPM entfallen auf veraltete Pakete.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von Aqua Security haben die Ergebnisse einer Analyse der Statistiken \u00fcber 50.000 der am h\u00e4ufigsten heruntergeladenen Pakete im NPM-Repository ver\u00f6ffentlicht. 7500 (15 %) der am h\u00e4ufigsten heruntergeladenen Pakete sind mit veralteten Paketen und eingestellten Projekten verbunden. Um die Identifizierung veralteter Pakete unter den Abh\u00e4ngigkeiten, die in eigenen Projekten verwendet werden, zu erleichtern, wurde das Tool Dependency-Deprecated-Checker vorgeschlagen, das unter der MIT-Lizenz ver\u00f6ffentlicht wurde. <\/p>\n
In 4100 (8,2 %) der untersuchten Pakete in der Abh\u00e4ngigkeitskette wurden Pakete identifiziert, die offiziell in NPM als veraltet oder mit alten Projekten verbunden sind (zum Beispiel ist das Paket request als veraltet gekennzeichnet, wird aber weiterhin als direkte Abh\u00e4ngigkeit in 55.000 Paketen verwendet). 2300 (4,6 %) Pakete sind mit Repositories auf GitHub verbunden, die in den Status archiviert \u00fcberf\u00fchrt wurden (Entwicklung eingestellt, beispielsweise ist das Repository des Pakets through als archiviert markiert, wird aber als direkte Abh\u00e4ngigkeit in 3000 Paketen genutzt). 1100 (2,2 %) Pakete verweisen auf bereits nicht mehr existierende Repositories, deren Anfragen zu einem 404-Fehler f\u00fchren. 3100 (6,2 %) Pakete enthalten keine Informationen \u00fcber ein Repository.
<\/center> <\/p>\n
In absolutem Ausdruck wird die Verbreitung von veralteten Paketen und Paketen ohne Referenzen zu Repositories in NPM auf etwa 2,1 Milliarden Downloads pro Woche hochgerechnet. Die Verwendung von veralteten Paketen und von nicht mehr unterst\u00fctzten Projekten als Abh\u00e4ngigkeiten birgt das Risiko ungepatchter Schwachstellen, insbesondere angesichts der von einigen Entwicklern angewandten Praxis, Schwachstellen heimlich zu beheben, ohne eine CVE-Identifikation zu vergeben und ohne deutlich auf die Behebung des Problems hinzuweisen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"8,2](\"\/wp-content\/uploads\/2024\/01\/f9216a87806d08312ea3224e1ba047ea.png\")
<\/center> <\/p>\n