Зависимости и уязвимости (CVE)

Проверка: npm audit , Dependabot, Renovate и сканеры показывают уязвимые пакеты.
Обновление: регулярно и с тестами. Патчи безопасности применяйте быстро.
Lockfile: фиксирует проверенные версии.

Коротко: Современное ПО в значительной степени состоит из сторонних библиотек. Если в одной из них становится известна дыра в безопасности (с номером CVE), затронуты все использующие её программы.

Подробнее: CVE (Common Vulnerabilities and Exposures) — всемирный каталог известных уязвимостей с идентификатором вроде CVE-2021-44228 (Log4Shell). Оценка CVSS (от 0 до 10) определяет серьёзность.