Proteja as dependências do Lodash que não têm mais suporte, sem a necessidade de um projeto de substituição que cause interrupções

Não. O Lodash não lança nenhuma versão nova desde a versão 4.17.21, em 2021, e ainda não foi anunciado nenhum Lodash 5. A biblioteca continua sendo um dos pacotes do npm mais baixados, mas novas vulnerabilidades não são mais corrigidas no código-fonte original. O Endless Lifecycle Support (ELS) da TuxCare oferece correções contínuas de CVE para nove versões cobertas do Lodash, abrangendo as versões 1.x a 4.x.

Substitua seu pacote Lodash por um equivalente pronto para uso, com correções de segurança, em vez de refatorá-lo. O TuxCare ELS fornece versões mantidas das versões cobertas do Lodash por meio de seu registro npm: basta adicionar duas linhas ao arquivo .npmrc, atualizar o package.json (manualmente ou com o TuxCare Patcher automatizado) e executar o comando npm install. Não há necessidade de chamar utilitários, fazer importações nem alterar a lógica do aplicativo.

O ELS abrange nove versões do Lodash: 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, 4.17.15, 4.17.19, 4.17.21 e 4.18.1. A cobertura abrange as versões principais de 1 a 4, incluindo a linha 4.17.x, amplamente utilizada. Se o seu aplicativo estiver vinculado a uma versão diferente, entre em contato com a TuxCare para discutir as opções de cobertura.

Sim. A poluição de protótipos é a categoria mais comum de CVEs do Lodash, e o ELS oferece correções testadas para vulnerabilidades conhecidas que afetam as versões cobertas. Além disso, novos patches são disponibilizados à medida que novos CVEs são divulgados. Desde o primeiro dia, seu projeto recebe todas as correções já lançadas para a sua versão.

Sim. O ELS utiliza substituições do npm no arquivo package.json para redirecionar todas as instâncias de uma versão do Lodash coberta (incluindo cópias importadas por pacotes que você não controla) para o equivalente mantido pela TuxCare. O TuxCare Patcher é capaz de detectar as versões cobertas e inserir essas substituições automaticamente.

Não. Os pacotes ELS são substitutos diretos para as versões abrangidas, instalados por meio do seu fluxo de trabalho npm existente. A configuração consiste em uma entrada no registro .npmrc e uma troca de dependência no arquivo package.json, seguida do comando `npm install`. Você mantém a mesma API, o mesmo comportamento e a mesma versão do Lodash que sua aplicação já espera.

Sim. Os pacotes ELS são instalados via npm a partir do registro da TuxCare, portanto, funcionam em qualquer lugar onde o npm funcione. Isso inclui compilações do Docker, pipelines de CI/CD e fluxos de trabalho de implantação já existentes. O token do registro é lido automaticamente do arquivo .npmrc do seu projeto.

O ELS foi projetado para atender aos requisitos de correção de vulnerabilidades em conformidade com estruturas como SOC 2, PCI DSS, HIPAA, NIS2, DORA e CRA. Os patches são fornecidos por meio de um SLA contratual por um fornecedor específico, oferecendo aos auditores um plano de correção documentado para uma dependência que, de outra forma, não receberia manutenção.

Isso depende do seu cronograma e da sua tolerância ao risco. O ELS transforma isso em uma escolha, e não em uma emergência. Remover o Lodash significa mexer em utilitários compartilhados e, potencialmente, em milhares de pontos de chamada, enquanto o ELS mantém as versões cobertas atualizadas imediatamente por meio do npm. Muitas equipes usam o ELS para se manterem seguras e em conformidade agora, para depois modernizar de forma deliberada ou nem mesmo modernizar.