Залежності та вразливості (CVE)

Перевірка: npm audit , Dependabot, Renovate та сканери показують вразливі пакети.
Оновлення: регулярно й з тестами. Патчі безпеки застосовуйте швидко.
Lockfile: фіксує перевірені версії.

Коротко: Сучасне ПЗ значною мірою складається зі сторонніх бібліотек. Якщо в одній із них стає відомою діра в безпеці (з номером CVE), зачеплені всі програми, що її використовують.

Докладніше: CVE (Common Vulnerabilities and Exposures) — всесвітній каталог відомих вразливостей з ідентифікатором на кшталт CVE-2021-44228 (Log4Shell). Оцінка CVSS (від 0 до 10) визначає серйозність.