У 18 из 26 Node.js-стартеров нашли неустранимые уязвимости

Проверка 26 популярных публичных Node.js-стартеров показала: у 18 из них (69%) есть хотя бы одна уязвимость высокой или критической опасности, которую не исправить через npm install или npm update — фикс лежит за пределами диапазона версий в package.json. У 17 из 18 проблема в production-зависимостях, а половина проектов использует устаревшие пакеты.

• 18 из 26 стартеров (69%) содержат неустранимые high/critical-уязвимости
• У 17 из 18 они затрагивают production-зависимости, а не dev-инструменты
• 13 из 26 проектов (50%) зависят от устаревших пакетов, всего 62 такие зависимости
• 34% из 858 прямых зависимостей не обновлялись более двух лет