لماذا لا يزال مدير الحزم الخاص بي يخلط بين الحزم الداخلية والحزم العامة؟

تحتفظ معظم المؤسسات بحزم خاصة في سجل داخلي إلى جانب التبعيات العامة من npm أو PyPI. وعندما تقوم أداة البناء بحل اسم ما، فإنها قد تفضل بصمت الإصدار العام إذا نشر مهاجم حزمة تحمل الاسم نفسه برقم إصدار أعلى، وذلك لأن لا يوجد سجل يفرض ملكية مساحة الاسم المشفرة للنطاقات الخاصة. وقد وثقت Microsoft في مايو 2026 وجود 33 حزمة npm ضارة تستغل هذه الثغرة بشكل نشط، مستهدفةً تسعة نطاقات مؤسسية منفصلة. وتشير Orca Security إلى أن 49 في المائة من المؤسسات لديها أصل واحد على الأقل معرض للخطر من هذه الفئة من الهجمات. ولم تصدر أي منظومة حزم رئيسية معيارًا يتيح لأداة البناء رفض حزمة عامة تحل محل حزمة داخلية مُعلنة.