Confusión de dependencias
Ataque a la cadena de suministro: registras en el npm/PyPI público un paquete con el mismo nombre que un paquete interno de la empresa — y el gestor de paquetes elige la versión más alta.
Lo demostró en 2021 Alex Birsan contra Apple, Microsoft y Tesla — y se llevó recompensas enormes. Defensas: configurar el espacio de nombres, paquetes con ámbito (scoped), registros privados con anclaje del upstream y lockfiles.