전이 의존성

전이 의존성이란 개발자가 직접 명시해 설치한 패키지가 아니라, 그 패키지가 동작하기 위해 필요로 하는 또 다른 패키지가 자동으로 함께 설치되는 것을 말한다. 프로젝트의 패키지 목록에는 몇 개 안 되는 라이브러리만 적혀 있어도, 실제 설치 폴더에는 그 라이브러리들이 요구하는 하위 패키지들이 겹겹이 쌓여 훨씬 많은 수가 존재하게 된다. 문제는 취약점이 이런 하위 패키지에서 발견되었을 때 발생하는데, 직접 고친 적 없는 코드라 어느 상위 패키지가 그것을 끌어왔는지 추적해야 하고, 상위 패키지가 버전을 올려주지 않으면 개발자 임의로 교체하기도 어렵다. 또한 여러 상위 패키지가 같은 하위 패키지를 서로 다른 버전으로 요구하는 경우도 흔해서, 취약점 패치가 전체 의존성 트리에 고르게 반영되지 않을 수 있다.