Abhängigkeiten mit bekannter Schwachstelle

Eine veröffentlichte Schwachstelle braucht keinen gezielten Angreifer, sondern nur Zeit. Advisories sind öffentlich beschrieben, mit Beispiel-Code versehen und werden in großem Stil automatisiert abgeklopft. Die Frage ist nicht, ob jemand die Lücke findet, sondern wann ein Scanner an eurer Adresse vorbeikommt.

Bei generierten Projekten sammelt sich das besonders schnell an. Die Versionen stehen so im Repo, wie das Modell sie beim Anlegen kannte — und zwischen Anlegen und Livegang liegt bei einem MVP oft mehr Zeit, als zwischen Advisory und Massenausnutzung vergeht. Ein `npm audit`-Lauf gehört zu den Dingen, die in einem Vibe-Projekt schlicht nie stattfinden.

So prüft ihr es selbst: `npm audit` oder `bun audit` im Projektverzeichnis. Wichtig ist die Unterscheidung zwischen der installierten Version (steht in der Lock-Datei) und der Versionsspanne aus `package.json` — nur die Lock-Datei sagt, was tatsächlich läuft. Steht im Nachweis, dass keine Lock-Datei vorlag, ist der Fund ein Hinweis auf die Spanne, nicht auf euren Stand.