[Перевод] Должны ли библиотеки запрещать уязвимые версии зависимостей?

Дата публикации: 24-07-2026 12:11:32

Когда в зависимости обнаруживают уязвимость, очевидное решение — поднять её минимально допустимую версию во всех библиотеках, которые ее используют. Тогда пакетный менеджер не подтянет уязвимую версию даже при новой установке. Сет Ларсон из Python Software Foundation предлагает не делать этого автоматически. По его мнению метаданные библиотеки должны описывать только совместимость, а контроль безопасности сборки оставаться на стороне приложения.Колонка Сета вызвала спор в Python-сообществе: одни поддержали разделение ответственности между библиотекой и приложением, другие заметили, что безопасность тоже может входить в условия поддержки библиотеки. Мы в CodeScoring подготовили перевод колонки, разбор обеих позиций и наш взгляд на этот вопрос. Читать далее

Схожие новости

#	Наименование новости	Тональность	Информативность	Дата публикации
1	Что сломается в вашем сервисе завтра, если сегодня вы запустите контейнеры без проверки образов	0	6.37	24-07-2026
2	Продакшн‑разработка в одиночку с AI‑агентами: принуждай к правилам, а не объясняй их	0	8.25	24-07-2026
3	The Drop Times: Canonical Report Flags Open Source Supply Chain Gaps	0	7	14-07-2026
4	Drupal.org blog: Migrating issues from security.drupal.org to git.drupalcode.org	5	7	17-07-2026
5	Klipper: опенсорс без сообщества, или почему у вашего принтера никогда не будет тулченджера из коробки	0	11.18	24-07-2026
6	Платформа вместо хаоса: как российское решение наводит порядок в коде и его безопасности	5	7	11-06-2026
7	Совместимость решений Orion soft и CodeScoring поможет ускорить внедрение DevSecOps-практик в конвейеры разработки	5	7	23-06-2026
8	Серверы, обеспечивающие безопасность интернета, выводят из строя 11 байт вредоносного кода	-2	7	21-07-2026
9	Из ядра Linux выпилили strncpy: шесть лет, 362 коммита, одна функция	0	8	23-06-2026

Классификация: Мнения. Схожих патентов: 0. Схожих новостей: 9. Тональность: 0. Информативность: 8.8. Источник: habr.com.