Скандал в NPM: обзор зависимостей Symfony, Laravel, и API Platform

https://dunglas.fr/2018/11/about-the-dependencies-of-symfony/

У автора популярной js-библиотеки event-stream не было времени на ее поддержку и он передал права мейнтейнить первому попросившему не особо заморачиваясь проверкой личности. Попросивший оказался злоумышленником и встроил в библиотеку с 2 млн скачиваний ежедневно вредоносный код, который воровал данные биткоин-кошелька. После такого разработчики Node.js даже предлагали убрать NPM из дефолтной поставки.

По ссылке небольшой обзор мейнтейнеров зависимостей двух популярных PHP-фреймворков.
Вопрос безопасности зависимостей независимо от языка, конечно, остается открытым.