O GitHub anunciou um novo mecanismo de cooldown no Dependabot, uma ferramenta que ajuda a gerenciar dependências em projetos de software. Esse mecanismo impede que a ferramenta abra uma solicitação de pull request (PR) por pelo menos três dias após a publicação de uma nova versão, visando reduzir a adoção de pacotes envenenados.
Detalhes Técnicos
O cooldown é configurável através da opção cooldown no arquivo dependabot.yml, permitindo que os proprietários de projetos escolham um período de cooldown personalizado.
A mudança visa mitigar o risco de ataques de supply chain e poisoned packages, nos quais pacotes maliciosos são inseridos em repositórios de dependências.
Essa medida reflete a preocupação do GitHub em melhorar a segurança dos projetos de software e proteger os desenvolvedores contra ameaças supply chain.
