23 из 25 пакетных менеджеров ставят подменённые пакеты по умолчанию

Trail of Bits проверила 25 популярных пакетных менеджеров, подсунув им подменённый сервер пакетов. Только Go и vcpkg проверяли каждый пакет без lockfile, а хеши из lockfile по умолчанию сверяют меньше половины инструментов.

• Go и vcpkg проверяли все загрузки даже без lockfile
• Меньше половины из 25 инструментов сверяют хеши из lockfile по умолчанию
• Pub и pnpm до версии 11.4 перезаписывали lockfile при несовпадении хеша
• cpanminus по умолчанию подключается к репозиторию по HTTP