Dependabot месяцами не видит уязвимости в мелких npm- и PyPI-пакетах

Анализ 1 808 advisories от 250 проектов показал: GitHub вносит в Advisory Database 93% уязвимостей пакетов с более 10 млн загрузок в месяц, а у пакетов до 100 тыс. загрузок — лишь 35%. Из-за этого Dependabot не предупреждает пользователей о дырах, включая критические.

• 93% advisories пакетов с 10 млн+ загрузок проверены за 30 дней, у пакетов до 100 тыс. — 35%
• Половина advisories мелких пакетов не проверена и через 2–4 месяца после публикации
• Критические уязвимости не в приоритете: 48% проверены за 30 дней против 72% у низких
• У Weblate 4 из 6 advisories от 11 июля до сих пор не в базе GitHub