Descargar sitios web que utilizan Underscore.js

Acerca de Underscore.js

Hay una categoría de software que ya nadie instala y que aun así no deja de aparecer. Underscore.js es un ejemplo claro de ella. Publicada en 2009, la biblioteca aportaba las utilidades para arrays, objetos y funciones que el propio lenguaje no tenía, y durante años pocas bases de código serias prescindían de alguna de ellas. Después JavaScript incorporó al estándar la mayoría de esas ideas. Un desarrollador que empieza un proyecto hoy no tiene motivo para añadirla, y nosotros seguimos encontrándola igualmente.

La explicación es que suele llegar como equipaje ajeno. Un widget de gráficos, un tema de administración antiguo, una etiqueta de marketing o un plugin empaquetado se la traen consigo, y el dueño del sitio nunca la eligió ni sabe que está ahí. En octubre de 2026 la detectamos en 629.670 sitios, y la cifra debe leerse como una medida de lo que la web ha ido acumulando, y no de lo que alguien esté adoptando ahora mismo.

Entendida así, la presencia se convierte en una herramienta de datación. Es probable que un dominio que sirve esta biblioteca sirva también otro código de la misma época, porque los paquetes rara vez envejecen solos. La biblioteca es pequeña, se distribuye con licencia MIT y es inofensiva en sí misma, así que un hallazgo no es un informe de vulnerabilidad y no vamos a presentarlo como tal. Un hallazgo indica que el JavaScript de una página tiene capas, que algunas de esas capas son antiguas y que nadie ha auditado el fondo de la pila desde hace mucho tiempo.

El panorama de versiones es inusualmente amplio para una biblioteca tan estable. Registramos 465 cadenas de versión distintas, y la que vemos con más frecuencia es 1.13.8. La dispersión viene del modelo de distribución y no de la rotación. Las copias van dentro de los paquetes de otros, fijadas a lo que fuera actual cuando se construyó ese paquete, y solo se mueven cuando se mueve el producto que las contiene. La detección de versión es además parcial, porque una copia minificada y concatenada dentro de un archivo mayor a menudo no lleva ningún marcador legible, lo que significa que una parte de las instalaciones aparece en el recuento sin ninguna versión asociada.

En Estados Unidos se concentran 205.484 de los sitios donde la encontramos, y .com reúne el grueso de la mezcla de dominios. El público de una lista así no son desarrolladores que busquen una biblioteca de utilidades. Los equipos de seguridad de aplicaciones y de cadena de suministro quieren saber dónde reside físicamente el código antiguo del lado del cliente dentro de una cartera de dominios. Los proveedores de rendimiento quieren los sitios que todavía envían código auxiliar que duplica lo que ya hace el lenguaje. Las agencias y quienes hacen migraciones de plataforma quieren pruebas, en un formato que el cliente acepte, de que un sitio se apoya en cimientos puestos hace mucho tiempo. Los investigadores que estudian cómo se degradan las dependencias quieren la población en sí y su movimiento entre instantáneas.

Un dominio concreto se puede comprobar a mano desde la consola del navegador, y para un solo dominio esa es la herramienta adecuada. El valor de la descarga está más bien en la forma de la población. Qué hosts, qué países, qué plataformas coinciden con ella, qué sitios llevan la biblioteca junto a un jQuery igual de antiguo y cuántos de ellos desaparecen de la lista de una instantánea a la siguiente. Responder a cualquiera de esas preguntas a base de consultas individuales obligaría a adivinar antes la lista de dominios, y adivinar la lista de dominios es justo el trabajo que el conjunto de datos existe para eliminar.