Warum npm audit und pnpm audit Sicherheitslücken übersehen

Dieser Fachartikel analysiert, warum die Audit-Befehle von npm und pnpm divergierende Ergebnisse liefern und Schwachstellen übersehen können. Technisch gesehen handelt es sich bei diesen Audits nicht um lokale Scanner, sondern um Netzwerkanfragen an Registry-Endpunkte, die sich ausschließlich auf die GitHub Advisory Database stützen. Daraus resultieren vier strukturelle Schwachstellen: die Abhängigkeit von einer einzigen Datenquelle, fehlschlagende Prüfungen ohne Netzwerkverbindung, die Beschränkung auf das npm-Ökosystem sowie das Fehlen von Reachability-Analysen und Inventar-Outputs. Die Diskrepanzen zwischen npm und pnpm entstehen primär durch unterschiedliche Auflösungen des Dependency Tree und zeitliche Datenunterschiede. Für eine nachhaltige Supply-Chain-Sicherheit empfiehlt der Autor einen Lockfile-basierten Scan-Ansatz mit aggregierten Advisory-Datenbanken wie OSV sowie die Erstellung von Software Bills of Materials (SBOMs) im CycloneDX-Standard.