Websites herunterladen, die Underscore.js nutzen

Über Underscore.js

Es gibt eine Art von Software, die niemand mehr installiert und die trotzdem immer wieder auftaucht. Underscore.js ist ein Paradebeispiel dafür. Die 2009 veröffentlichte Bibliothek lieferte die Hilfsfunktionen für Arrays, Objekte und Funktionen, die der Sprache selbst fehlten, und jahrelang kam kaum eine ernsthafte Codebasis ohne sie aus. Später hat JavaScript die meisten dieser Ideen in den Standard übernommen. Wer heute ein Projekt beginnt, hat keinen Grund, die Bibliothek einzubinden, und trotzdem finden wir sie immer wieder.

Die Erklärung ist, dass sie meist im Gepäck anderer Software mitreist. Ein Diagramm-Widget, ein altes Admin-Theme, ein Marketing-Tag oder ein mitgeliefertes Plugin bringt die Bibliothek mit, und der Betreiber der Website hat sie nie ausgewählt und weiß nicht, dass sie vorhanden ist. Stand Oktober 2026 erkennen wir sie auf 629.670 Websites, und man sollte die Zahl als Maß dafür lesen, was sich im Web angesammelt hat, nicht dafür, was gerade jemand neu einführt.

So verstanden taugt ihr Vorkommen zur Datierung. Eine Domain, die diese Bibliothek ausliefert, liefert wahrscheinlich auch anderen Code aus derselben Zeit aus, denn Bundles altern selten allein. Die Bibliothek ist klein, steht unter der Lizenz MIT und ist an sich harmlos, ein Fund ist also kein Schwachstellenbericht, und wir werden ihn auch nicht als solchen aufbauschen. Ein Fund ist ein Hinweis darauf, dass das JavaScript einer Seite aus Schichten besteht, dass einige dieser Schichten alt sind und dass schon lange niemand mehr die unterste Ebene des Stacks geprüft hat.

Für eine so stabile Bibliothek streuen die Versionen ungewöhnlich breit. Wir erfassen 465 verschiedene Versionsangaben, und am häufigsten sehen wir Version 1.13.8. Die Streuung rührt vom Auslieferungsmodell her und nicht von häufigen Wechseln. Kopien stecken in den Bundles anderer, fixiert auf die Version, die beim Bau des jeweiligen Bundles aktuell war, und sie ändern sich erst, wenn das übergeordnete Produkt aktualisiert wird. Die Versionserkennung ist außerdem lückenhaft, denn eine minifizierte Kopie, die mit anderem Code zu einer größeren Datei zusammengefügt wurde, trägt oft keine lesbare Kennung, weshalb ein Teil der Installationen ohne zugeordnete Version in der Zählung erscheint.

Von den Websites, auf denen wir die Bibliothek finden, verorten wir 205.484 in den USA, und die Endung .com stellt den Großteil der Domains. Die Zielgruppe einer solchen Liste sind nicht Entwickler, die eine Hilfsbibliothek suchen. Teams für Supply-Chain- und Anwendungssicherheit wollen wissen, wo in einem Portfolio alter clientseitiger Code konkret liegt. Performance-Anbieter suchen Websites, die noch Hilfscode ausliefern, der nachbildet, was die Sprache selbst kann. Agenturen und Migrationsdienstleister wollen einem Kunden überzeugend belegen können, dass eine Website auf Fundamenten ruht, die vor langer Zeit gelegt wurden. Forschende, die den Verfall von Abhängigkeiten untersuchen, wollen den Bestand selbst und seine Veränderung zwischen Snapshots.

Eine einzelne Domain lässt sich von Hand in der Browserkonsole prüfen, und für eine Domain ist das auch das richtige Werkzeug. Der Wert des Downloads liegt dagegen in der Struktur des Bestands: um welche Hosts und Länder es geht, welche Plattformen daneben im Einsatz sind, welche Websites die Bibliothek zusammen mit einem ebenso alten jQuery ausliefern und wie viele davon von einem Snapshot zum nächsten aus der Liste fallen. All das über Einzelabfragen zu beantworten, hieße, zuerst die Liste der Domains zu erraten, und genau dieses Raten soll der Datensatz überflüssig machen.