A03:2025 — Software Supply Chain Failures و خطر وابستگی‌های نامطمئن
چرا امنیت کد شما دیگر فقط به کد خودتان بستگی ندارد، بلکه به صدها پکیج شخص‌ثالثی که import می‌کنید هم وابسته است.
این دسته‌ی نسبتاً جدید (که در نسخه‌های قبلی OWASP بخشی از Vulnerable Components بود) حالا به‌طور مستقل به کل زنجیره‌ی تامین نرم‌افزار می‌پردازد: پکیج‌های npm/composer آلوده، typosquatting (پکیجی با نام مشابه یک پکیج معروف)، حمله به pipeline CI/CD، و وابستگی‌های قدیمی با آسیب‌پذیری شناخته‌شده.
چند حمله‌ی واقعی معروف
چندین مورد ثبت‌شده‌ی واقعی وجود دارد که در آن‌ها یک maintainer دسترسی حساب خود را از دست داده یا یک پکیج محبوب به یک نسخه‌ی آلوده آپدیت شده و روی هزاران پروژه‌ی وابسته اثر گذاشته است.
دفاع عملی
- قفل‌کردن نسخه‌ی دقیق وابستگی‌ها (lock files) و بازبینی قبل از آپدیت
- استفاده از ابزارهای اسکن آسیب‌پذیری وابستگی‌ها (Dependabot، npm audit، composer audit)
- اصل حداقل دسترسی برای توکن‌های CI/CD