Security/Vulnerability on Ecosystem

[azu]

npmやGitHubなどセキュリティの機能が多く入って、脆弱性の通知を見ない日は少なくなってきた。
このセキュリティや脆弱性の通知がどのような流れでできてるのかを見る。

[azu]

一方で、　https://www.sourceclear.com/ や Synx などアグレッシブにCVEを発行することで、これがそのままGitHubやnpm auditの方に流れてくる => library authorに対してコメントが殺到するという問題も見かける。

• https://twitter.com/sindresorhus/status/1123986529498664961

脆弱性のレポートがされる前に作者に対して一度もコンタクトが取られなかったという話。
一種のハラスメントになる傾向がある。
これは、npm auditをCIで通しているところでは、このような脆弱性がレポートされるだけでCIが止まるようになるというフラストレーションを生んでいるため、攻撃的なコメントが発生しやすい

[azu]

shelljsの例 shelljs/shelljs#945