Investigadores de Aqua Security publicaron los resultados de un análisis de estadísticas sobre 50,000 de los paquetes más descargados en el repositorio NPM. 7,500 (15%) de los paquetes más descargados resultaron estar relacionados con paquetes obsoletos y proyectos que han dejado de existir. Para facilitar la identificación de paquetes obsoletos entre las dependencias utilizadas en su proyecto, se ha propuesto una utilidad llamada Dependency-Deprecated-Checker, publicada bajo la licencia MIT.
En 4,100 (8.2%) de los paquetes revisados en la cadena de dependencias se identificaron paquetes que han sido oficialmente marcados como obsoletos en NPM o que están relacionados con proyectos obsoletos (por ejemplo, el paquete request está marcado como obsoleto, pero sigue siendo utilizado como una dependencia directa por 55,000 paquetes). 2,300 (4.6%) paquetes están relacionados con repositorios en GitHub que han sido archivados (desarrollo detenido, por ejemplo, el repositorio del paquete through está marcado como archivado, pero se utiliza como una dependencia directa por 3,000 paquetes). 1,100 (2.2%) paquetes hacen referencia a repositorios que ya no existen, y la solicitud a estos devuelve un error 404. 3,100 (6.2%) paquetes no contienen información sobre el repositorio.
En términos absolutos, la difusión de paquetes obsoletos y paquetes sin enlaces a repositorios en NPM se extrapola a aproximadamente 2.1 mil millones de descargas por semana. El uso de paquetes obsoletos y proyectos sin mantenimiento como dependencias conlleva el riesgo de tener vulnerabilidades no corregidas, especialmente considerando la práctica aplicada por algunos desarrolladores de ocultar la corrección de vulnerabilidades sin asignar un identificador CVE y sin hacer un énfasis explícito en la resolución del problema.
Fuente: opennet.ru
