Una dipendenza incorporata è una libreria o un componente di terze parti incluso in un altro prodotto. Per esempio, un'applicazione o un dispositivo può includere SQLite invece di affidarsi a un database installato separatamente. La dipendenza può avere una propria versione, vulnerabilità e ciclo di aggiornamento delle patch, anche quando gli utenti non la vedono come un prodotto distinto.
Le dipendenze incorporate sono importanti perché una falla in un componente ampiamente utilizzato può interessare molti prodotti, mentre i difensori potrebbero non sapere dove sia presente o quale versione venga utilizzata. Gli aggressori potrebbero prendere di mira un componente vulnerabile sfruttando le funzionalità esposte del prodotto che lo include, ma il rischio dipende dalla build esatta, dalla configurazione e dal percorso di attacco raggiungibile. I team di sicurezza dovrebbero inventariare i componenti software, verificare gli avvisi dei fornitori per individuare le correzioni incluse o retroportate e confermare lo stato delle patch con i fornitori dei prodotti. L'aggiornamento di una libreria potrebbe richiedere un aggiornamento del prodotto da parte del fornitore, anziché una modifica diretta da parte dell'utente finale.