Ваши зависимости могут читать переменные окружения. JavaScript им позволяет.
Ambient Authority означает, что любой код в вашем процессе Node.js может взаимодействовать с файловой системой, сетью и окружением. Вот как убрать это с помощью lockdown, compartments и явной передачи capabilities.
Одна скомпрометированная транзитивная зависимость может эксфильтровать ваш , записать данные в вашу файловую систему и открыть исходящие соединения. Ей не…