{"id":113035,"date":"2024-01-21T23:28:08","date_gmt":"2024-01-21T21:28:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/8-2-naibolee-populyarnyh-zagruzok-v-npm-prihoditsya-na-ustarevshie-pakety"},"modified":"2024-01-21T23:28:08","modified_gmt":"2024-01-21T21:28:08","slug":"8-2-naibolee-populyarnyh-zagruzok-v-npm-prihoditsya-na-ustarevshie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/8-2-naibolee-populyarnyh-zagruzok-v-npm-prihoditsya-na-ustarevshie-pakety","title":{"rendered":"8,2 % des t\u00e9l\u00e9chargements les plus populaires sur NPM proviennent de paquets obsol\u00e8tes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des chercheurs de la soci\u00e9t\u00e9 Aqua Security ont publi\u00e9 les r\u00e9sultats d'une analyse des statistiques concernant les 50 000 paquets les plus t\u00e9l\u00e9charg\u00e9s dans le r\u00e9f\u00e9rentiel NPM. 7500 (15 %) des paquets les plus t\u00e9l\u00e9charg\u00e9s sont li\u00e9s \u00e0 des paquets obsol\u00e8tes et \u00e0 des projets ayant cess\u00e9 d'exister. Pour faciliter l'identification des paquets obsol\u00e8tes parmi les d\u00e9pendances utilis\u00e9es dans un projet, un utilitaire appel\u00e9 Dependency-Deprecated-Checker a \u00e9t\u00e9 propos\u00e9, publi\u00e9 sous licence MIT. <\/p>\n
Dans 4100 (8,2 %) des paquets examin\u00e9s dans la cha\u00eene de d\u00e9pendances, des paquets officiellement d\u00e9clar\u00e9s obsol\u00e8tes dans NPM ou li\u00e9s \u00e0 des projets obsol\u00e8tes ont \u00e9t\u00e9 identifi\u00e9s (par exemple, le paquet request est marqu\u00e9 comme obsol\u00e8te, mais continue d'\u00eatre utilis\u00e9 comme d\u00e9pendance directe dans 55000 paquets). 2300 (4,6 %) des paquets sont li\u00e9s \u00e0 des d\u00e9p\u00f4ts GitHub qui ont \u00e9t\u00e9 archiv\u00e9s (le d\u00e9veloppement a cess\u00e9, par exemple, le d\u00e9p\u00f4t du paquet through est marqu\u00e9 comme archiv\u00e9, mais est utilis\u00e9 comme d\u00e9pendance directe dans 3000 paquets). 1100 (2,2 %) des paquets r\u00e9f\u00e8rent \u00e0 des d\u00e9p\u00f4ts qui n'existent plus, entra\u00eenant un retour d'erreur 404. 3100 (6,2 %) des paquets ne contiennent pas d'informations sur le d\u00e9p\u00f4t.
<\/center> <\/p>\n
En valeur absolue, la propagation des paquets obsol\u00e8tes et des paquets sans liens vers des d\u00e9p\u00f4ts sur NPM est extrapol\u00e9e \u00e0 environ 2,1 milliards de t\u00e9l\u00e9chargements par semaine. L'utilisation de paquets obsol\u00e8tes et de projets laiss\u00e9s sans support comme d\u00e9pendance comporte le risque de contenir des vuln\u00e9rabilit\u00e9s non corrig\u00e9es, en particulier compte tenu de la pratique adopt\u00e9e par certains d\u00e9veloppeurs consistant \u00e0 masquer la correction des vuln\u00e9rabilit\u00e9s sans attribuer d'identifiant CVE et sans souligner explicitement la r\u00e9solution du probl\u00e8me. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"8,2](\"\/wp-content\/uploads\/2024\/01\/f9216a87806d08312ea3224e1ba047ea.png\")
<\/center> <\/p>\n