La dependencia escondida

Cuando el servicio de pagos de Cauce declara una librería, esa librería trae sus propias dependencias, que traen las suyas. Ninguna de esas transitivas aparece en la lista que escribió el equipo, pero todas se despliegan. Si el fallo crítico está en una transitiva, mirar solo las librerías declaradas lo deja fuera: el escaneo tiene que recorrer el árbol completo. El arreglo pasa por fijar la versión corregida de la transitiva, o subir la librería de arriba cuando una versión suya ya la traiga.

Aceptar que una dependencia que no declaraste igual se despliega, y responde por ella, es lo que obliga a mirar el árbol entero y no la lista.

No todo fallo crítico pesa igual: importa si el código vulnerable se llega a ejecutar. Un fallo en una función que el servicio de pagos de Cauce llama al procesar cada cobro es alcanzable, y el riesgo es real e inmediato. Un fallo de la misma severidad en una parte de una librería que el servicio nunca invoca está ahí, pero nadie lo alcanza por ese camino. Esa evidencia de alcance no borra el deber de arreglar un crítico con remedio, pero sí ordena la cola: lo alcanzable va delante.

Mirar si el código vulnerable se usa de verdad es lo que convierte una lista de críticos iguales en una cola con prioridades defendibles.

La decisión se sostiene en la evidencia del escaneo: severidad, existencia de arreglo y alcance. Un crítico alcanzable en el camino de pagos con arreglo publicado se para: hay riesgo real, se ejecuta, y hay remedio, así que no se fusiona hasta subir la versión. Un crítico en una rama que el servicio no alcanza, o un fallo sin arreglo todavía, no se silencia: se registra como excepción documentada, con su motivo y su fecha de revisión, para no bloquear indefinidamente por algo que hoy no se puede cerrar.

Anclar la parada a severidad, arreglo y alcance —y documentar la excepción cuando se deja pasar— es lo que hace cada decisión defendible ante quien pregunte.

Abre el laboratorio de dependencias transitivas de Cauce. Lee la salida de Trivy y el árbol que muestra quién arrastra a quién. Un fallo es un alto en una librería interna que el servicio no alcanza; el otro es el crítico transitivo que sí se usa al leer la respuesta de la pasarela. Quédate con ese.