Инцидент left-pad: как 11 строк JavaScript сломали npm

22 марта 2016 года разработчик Азер Кочulu удалил 273 своих пакета из npm, включая 11-строчную функцию left-pad, которую через транзитивные зависимости использовали Babel и Atom. Сборки тысяч проектов падали 2,5 часа, пока npm не восстановила версию 0.0.3 из бэкапа. Через неделю npm ввела 24-часовое окно для отмены публикации.

• left-pad скачали 2 486 696 раз за месяц до удаления
• Сборки падали сотнями в минуту, сбой длился 2,5 часа
• Причиной стала точная привязка line-numbers к версии 0.0.3
• npm ввела 24-часовое окно отмены публикации, позже расширила до 72 часов