研究人员还分析了相同包的不同版本,历史版本,以及包维护者和已知安全漏洞。研究人员想知道,入侵一名或多名维护者的帐号、一个包或多个包的漏洞对 NPM 生态系统会有多大影响,以及一次影响成千上万的项目的安全事故临界点。
研究人员发现,临界点很容易达到,因为一个 NPM 包有着异常高数量的依赖,平均一个包加载了 39 名不同维护者的 79 个第三方包。
一些流行的包使用了 100 多名维护者写的代码。研究人员发现,只要入侵 20 名最有影响力的包维护者帐号就可能危及半数 NPM 生态系统。
本文素材来自互联网