🗄 Как проверить зависимости проекта на уязвимости

Как обнаружить уязвимые зависимости, оценить риски, обновить библиотеки и автоматизировать проверки безопасности в CI с помощью npm audit, pip-audit и OSV-Scanner.

Перед релизом вы запускаете проверку зависимостей и находите чуждую этому проекту библиотеку. Ее никто в команде не добавлял напрямую: она пришла как транзитивная зависимость одного из пакетов, который вы сами подключили.

Теперь нужно выяснить, используется ли уязвимый код из этой библиотеки в приложении. Для этого придется определить, через какую цепочку зависимостей была установлена эта библиотека и что именно необходимо менять: саму библиотеку или пакет выше по цепочке, подключающий ее.

Так исправление, лежащее в обновленном lock-файле репозитория, дойдет до продакшена.

🗄 Читать статью — линк.

// Не хакинг, а ИБ