Dependencias directas y transitivas

Una dependencia directa es la que alguien escribió en el manifiesto del proyecto: el archivo donde se declaran las bibliotecas que se piden. Una transitiva es la que llegó arrastrada porque otra dependencia la necesita. Nadie del equipo la eligió, pero está en la aplicación con el mismo peso que las demás.

Esto cambia el trabajo del analista. Cuando el informe marca una biblioteca que no aparece en el manifiesto, no es un error del escáner: es una transitiva. Y la corrección casi nunca consiste en editarla a mano, sino en actualizar la dependencia directa que la trae, o en forzar una versión distinta con una regla explícita del proyecto.

Para mover una transitiva hay que saber quién la trae. Es la columna que convierte «hay que actualizar lodash» en una petición concreta: «actualiza este paquete directo, que es el que lo arrastra».

Abre el escaneo de dependencias de Avellana. En el portal de comercios hay dos versiones del mismo paquete de utilidades, cada una traída por una dependencia distinta. Interesa la que el escáner marcó, no la otra.

El manifiesto dice qué se pidió, a menudo con un rango («cualquier versión 4 o superior»). Lo que corre de verdad es lo que se resolvió al instalar, y eso lo fija un segundo archivo, el de bloqueo, que anota la versión exacta de cada paquete, directo o transitivo. Escanear solo el manifiesto produce dos errores opuestos: marcar una versión que no es la que quedó instalada, o pasar por alto una transitiva que el manifiesto ni nombra.

Por eso el escáner de un repositorio debe leer el archivo de bloqueo o las dependencias ya resueltas. Y por eso el mismo paquete puede salir dos veces, con versiones distintas, cada una con su propio veredicto.

El número CVSS dice la gravedad en abstracto. El catálogo KEV de CISA dice algo distinto y más útil para priorizar: que hay explotación observada en el mundo real. Cruzar ambos es el primer filtro de este módulo, y todavía no es el veredicto: antes de decidir hay que comprobar si esa biblioteca se carga y si alguien puede llegar a ella, que es lo que se ve en las salas siguientes.

Cuenta, en el informe de Avellana, cuántos hallazgos tienen su CVE en ese catálogo.