商业代码库广泛使用高风险开源组件，安全漏洞频发

　　根据Black Duck最新发布的《2025开源安全和分析报告》，商业代码库中普遍存在高风险和过时的开源软件组件，导致安全漏洞频发。报告分析了16个行业的965个商业代码库，发现97%的代码库包含开源组件，其中86%的代码库包含易受攻击的开源组件，过时的jQuery库漏洞尤为突出。

　　自2020年以来，每个应用程序中的平均开源文件数量增加了两倍，从5386个跃升至16082个，81%的代码库包含高危或严重漏洞。十大最常见的高危漏洞中有八个出现在jQuery JavaScript库中，超过三分之一的代码库存在CVE-2020-11023和CVE-2020-11022这两个跨站脚本(XSS)漏洞。尽管这些漏洞的补丁早在2020年4月就已发布，但仍广泛存在于商业代码库中，凸显了过时开源软件的风险。

　　此外，64%的开源组件是传递依赖项，近一半的高危和严重漏洞源于传递依赖项。这种多层依赖关系也带来了法律风险，近30%的许可证冲突来自传递依赖项。总体而言，56%的代码库存在许可证冲突，可能引发法律问题并导致产品上市延迟。

　　Black Duck建议组织通过关注项目网站和代码库、使用包管理器、自动化监控工具和版本跟踪工具等方式，及时了解高危漏洞。虽然保持所有软件组件100%最新可能不切实际，但主动管理和修复已知漏洞至关重要。