Code van anderen
Een gemiddelde webapplicatie leunt op tientallen tot honderden externe pakketten. Dat is efficiënt, maar elke afhankelijkheid is ook een plek waar een bekende kwetsbaarheid kan zitten. In de OWASP Top 10:2025 heet dit Software Supply Chain Failures.
Drie manieren waarop het misgaat
- Bekende CVE: een oud pakket met een gepubliceerde kwetsbaarheid, zoals een PDF-viewer die code laat uitvoeren.
- Indirecte afhankelijkheid: het lek zit niet in jouw pakket, maar in een pakket dat dat pakket gebruikt.
- Gekaapt pakket: een nieuwe versie bevat kwaadaardige code van iemand die het account van de maintainer overnam.
Wat je eraan doet
Houd een overzicht bij van je componenten, laat een scanner meekijken in je build-pipeline en spreek af wie updates doorvoert. Een periodieke scan vangt wat er tussendoor verschijnt.
Snelle check
Draai npm audit, composer audit of de tegenhanger voor jouw stack, en kijk vooral naar kritieke bevindingen in pakketten die invoer van gebruikers verwerken.