Una dipendenza open-source è una libreria o un pacchetto di terze parti che un'applicazione utilizza invece di implementare direttamente la funzione. Questi componenti fanno risparmiare tempo di sviluppo, ma importano anche il proprio codice, la propria cronologia di manutenzione e le proprie vulnerabilità di sicurezza. Se la dipendenza è obsoleta o configurata in modo errato, l'applicazione può ereditare vulnerabilità note senza alcuna modifica al proprio codice sorgente.
Nella sicurezza informatica, le dipendenze open-source sono importanti perché gli attaccanti spesso prendono di mira la supply chain del software invece dell'applicazione principale. Un difetto può esistere in un pacchetto diretto o in una dipendenza transitiva diversi livelli più in profondità. I difensori usano l'analisi della composizione del software, i grafi delle dipendenze e gli SBOM per inventariare ciò che è installato, identificare le versioni rischiose e dare priorità alle patch. Una buona difesa richiede anche di testare le correzioni, perché aggiornare una libreria può rompere le build o alterare il comportamento.