Auditamos 50 Codebases. Esto Debería Quitarte el Sueño.
El Setup
En los últimos seis meses, Menteorama Studio ha realizado auditorías de seguridad de cadena de suministro en 50 codebases de JavaScript. No son proyectos de juguete — son aplicaciones en producción manejando usuarios reales, transacciones reales y datos reales. Plataformas de e-commerce, dashboards SaaS, portales de clientes, herramientas internas, backends móviles.
Escaneamos cada dependencia — directa y transitiva. Cruzamos contra la National Vulnerability Database. Verificamos el estado de cuentas de mantenedores, patrones de publicación y conflictos de licencia.
Esto es lo que encontramos.
Los Números
Dependencias promedio por proyecto: 847
No 30 (lo que está en tu package.json). No 100 (lo que crees que tienes). 847 paquetes reales instalados en node_modules, la mayoría de los cuales nunca has escuchado y nunca escucharás — hasta que uno de ellos sea comprometido.
Proyectos con al menos una vulnerabilidad conocida: 73%
Casi tres de cada cuatro codebases en producción tenían al menos un CVE en su árbol de dependencias con un parche disponible. No un riesgo teórico — una vulnerabilidad documentada con un camino de explotación conocido.
Proyectos con CVEs de severidad crítica: 41%
No solo "medio" o "bajo" — crítico. Del tipo que obtiene un puntaje CVSS por encima de 9.0. Del tipo que significa "alguien puede ejecutar código arbitrario en tu aplicación."
Días promedio desde publicación del CVE hasta parche aplicado: 47
Casi siete semanas entre "el mundo sabe de esta vulnerabilidad" y "alguien realmente actualiza el paquete." Durante esos 47 días, tu aplicación está corriendo código con vulnerabilidades conocidas en producción.
Proyectos con un SBOM actual en archivo: 11%
Solo 1 de 9 proyectos podía producir un Software Bill of Materials. El resto no tenía registro documentado de qué estaba realmente corriendo en producción.
Los Patrones Que Vimos
Patrón 1: La Transitiva Olvidada
La vulnerabilidad más común no estaba en un paquete que el desarrollador eligió. Estaba en una dependencia de una dependencia de una dependencia. Tres o cuatro niveles de profundidad. Una librería de formateo de fechas jalada por un framework de testing jalado por una librería de componentes UI. Nadie la eligió. Nadie la audita. Pero corre en tu pipeline de build.
Patrón 2: El Mantenedor Abandonado
En 41% de los proyectos, al menos una dependencia era mantenida por un solo desarrollador cuya cuenta npm mostraba señales de riesgo de compromiso — reutilización de contraseña de brechas conocidas, sin 2FA, o patrones de publicación sospechosos. Estos paquetes tenían millones de descargas semanales.
Patrón 3: La Ilusión de "npm audit clean"
12 proyectos tenían equipos que decían "corremos npm audit regularmente." Cuando los escaneamos, encontramos vulnerabilidades que npm audit no detecta — mantenedores comprometidos, conflictos de licencia, paquetes deprecados con problemas conocidos que aún no tienen CVEs asignados.
Patrón 4: La Falsa Seguridad del Lockfile
Los equipos creían que su lockfile los protegía. Lo hace — hasta que alguien corre npm install y el árbol resuelve a nuevas versiones. O hasta que una dependencia publica un parche malicioso que tu lockfile felizmente instalará la próxima vez.
Qué Significa Esto Para Ti
Si estás desplegando JavaScript — que, estadísticamente, probablemente sí — la pregunta no es si tienes dependencias vulnerables. Casi seguro que sí.
La pregunta es: ¿lo sabes? ¿Tienes un sistema que te avise cuando un nuevo CVE afecta tu stack? ¿Tienes un SBOM que podrías mostrarle a un cliente o regulador si preguntaran?
Para la mayoría de los equipos, la respuesta honesta es no.
Por esto construimos Code Sentinel. No porque el escaneo de seguridad sea nuevo — Snyk y Dependabot existen. Sino porque esas herramientas están construidas para empresas con equipos de seguridad dedicados. Si eres una agencia de 3 personas manejando 5 proyectos de clientes, o un founder solo con 3 repos, necesitas algo más simple, más barato y más opinado.
Code Sentinel corre escaneos semanales, genera SBOMs, cruza bases de datos de CVE, y te envía un reporte con pasos específicos de remediación. Desde $299/mes para hasta 3 proyectos.
El primer escaneo es gratis. Sin tarjeta de crédito. Conecta un repo y ve qué hay ahí.