Исходное сообщение
"Из репозитория NPM удалены четыре пакета с бэкдорами" Отправлено Аноним, 17-Окт-20 14:04
Пока что его приимущества спорны. Никто не мешает установить зловред во время первой установки - у автора угнали доступ к репо, либо он сам туда зловред и засунул. Самое стрёмное, что прямые зависимости я могу сам проконтролировать, указав ссылку на версию на гите или даже на коммит, но зависимости зависимостей контролировать - это нереально. С учетом полного отсутствия аудита - это как было дырой так и остаётся и дено тут сильно не исправит ситуацию. Хотя возможность прямо указывать полномочия аппликухе это конечно плюс. Жаль только что всей аппликухе, включая зависимости.