Una vulnerabilità di una dipendenza è una falla di sicurezza in una libreria, un framework o un altro componente di terze parti da cui dipende un’applicazione. Poiché l’applicazione incorpora o richiama quel componente, i suoi utenti potrebbero ereditare la falla anche se il bug non ha origine nel codice dell’applicazione stessa.
Negli attacchi reali, una dipendenza vulnerabile può esporre un’applicazione a problemi come accessi non autorizzati o esecuzione di codice da remoto, a seconda della falla e di come viene utilizzato il componente. I difensori dovrebbero tenere traccia dei componenti software e delle relative versioni, consultare gli avvisi di sicurezza e aggiornare alle versioni corrette. Nelle piattaforme che includono le dipendenze, applicare la versione corretta dell’applicazione distribuita dal fornitore può ridurre rischi che non sono evidenti dalle funzionalità proprie dell’applicazione.