Raziskovalci podjetja Aqua Security so objavili rezultate analize statistike o 50 tisoč najbolj prenašanih paketih v repozitoriju NPM. 7500 (15%) najbolj prenašanih paketov je bilo povezanih s zastarelimi paketi in projekti, ki so prenehali obstajati. Za poenostavitev prepoznavanja zastarelih paketov med odvisnostmi, ki jih uporabljate v svojem projektu, je bila predlagana orodje Dependency-Deprecated-Checker, objavljeno pod MIT licenco.
Pri 4100 (8.2%) obravnavanih paketih v verigi odvisnosti so bili odkriti paketi, uradno razglašeni v NPM za zastarele ali povezani s zastarelimi projekti (na primer, paket request je označen za zastarelim, vendar se še vedno uporablja kot neposredna odvisnost pri 55000 paketih). 2300 (4.6%) paketov je povezanih z repozitoriji na GitHub, ki so bili preusmerjeni v arhivski status (razvoj je prenehan, na primer, repozitorij paketa through je označen kot arhivski, vendar se uporablja kot neposredna odvisnost pri 3000 paketih). 1100 (2.2%) paketov se sklicuje na že neobstoječe repozitorije, katerih obisk povzroča napako 404. 3100 (6.2%) paketov ne vsebuje informacij o repozitoriju.
V absolutnih izrazih je razširjenost zastarelih paketov in paketov brez povezav na repozitorije v NPM ekstrapolirana na približno 2.1 milijarde prenosov na teden. Uporaba zastarelih paketov in projektov, ki niso več vzdrževani, kot odvisnosti predstavlja nevarnost prisotnosti neopravljenih ranljivosti, zlasti ob upoštevanju prakse nekaterih razvijalcev, ki skrivaj odpravljajo ranljivosti brez dodelitve CVE identifikatorja in brez izrecnega poudarjanja odprave težave.
Izvor: opennet.ru
