dependency ใหม่มีผู้ดูแลไม่ชัดและไม่มีรุ่นล่าสุดมานาน ควรประเมินอะไร
กประเมินแหล่งที่มา สุขภาพโครงการ ใบอนุญาต ช่องโหว่ และแผนทดแทนก่อนใช้
ขอนุญาตเวอร์ชันล่าสุดเสมอโดยไม่ล็อกหรือทดสอบ
คดาวน์โหลด dependency จากแหล่งสุ่มเมื่อ build ล้มเหลว
งใช้ secret ถาวรสิทธิ์สูงใน pipeline และแชร์ทุกโครงการ
เฉลยอธิบาย
ความเสี่ยง supply chain ครอบคลุมมากกว่ารายการ CVE แหล่งอ้างอิง: NIST SP 800-218 SSDF v1.1 https://csrc.nist.gov/pubs/sp/800/218/final; OWASP Top 10:2025 https://owasp.org/Top10/ และ OWASP ASVS 5.0 https://owasp.org/www-project-application-security-verification-standard/