Infrastructure
Dependency confusion
Confusion de dépendance
Installation d’un package public malveillant à la place d’une dépendance interne.
Fiche de sensibilisationPrête à diffuser à vos équipes ou clients
VOUS PENSEZ ÊTRE CONCERNÉ ?
Passez de la compréhension à l’action.
Comment cela fonctionne ?
Le gestionnaire préfère une version publique plus élevée portant le même nom.
EXEMPLE CONCRET
« Un package interne est reproduit sur un registre public avec une version supérieure. »
Déroulement habituel
- 1Découverte du nom interne
- 2Publication publique
- 3Résolution vers le faux package
Signes d’alerte
- Téléchargement depuis le mauvais registre
- Version inattendue
- Script d’installation externe
Comment se protéger
- Scopes privés
- Priorité registre interne
- Réservation des noms
Si vous pensez être victime
Bloquez le package, corrigez la résolution et contrôlez les builds et secrets ayant exécuté son code.
Dernière mise à jour : 6 septembre 2026