Descarregar sites que utilizam Underscore.js

Sobre Underscore.js

Há uma categoria de software que já ninguém instala e que, ainda assim, não para de aparecer. Underscore.js é um exemplo limpo disso. Lançada em 2009, a biblioteca forneceu os auxiliares de arrays, objetos e funções que a própria linguagem não tinha, e durante anos poucas bases de código sérias dispensaram uma biblioteca destas. O JavaScript acabou por absorver a maior parte das ideias na norma. Quem começa um projeto hoje não tem razão para a adicionar, e continuamos a encontrá-la à mesma.

A explicação é que costuma chegar como bagagem. Um widget de gráficos, um tema de administração antigo, uma etiqueta de marketing ou um plugin empacotado trazem a biblioteca atrás de si, e o dono do site nunca a escolheu nem sabe que ela está presente. Em outubro de 2026 detetamo-la em 629 670 sites, e o número deve ser lido como uma medida daquilo que a web acumulou e não daquilo que alguém está a adotar neste momento.

Entendida assim, a presença torna-se uma ferramenta de datação. É provável que um domínio que serve esta biblioteca esteja a servir outro código do mesmo período, porque os pacotes raramente envelhecem sozinhos. A biblioteca é pequena, distribuída com licença MIT e inofensiva em si mesma, por isso um resultado não é um relatório de vulnerabilidade e não o vamos apresentar como tal. Um resultado é um indício de que o JavaScript de uma página tem camadas, de que algumas dessas camadas são antigas e de que ninguém audita o fundo da pilha há muito tempo.

O panorama de versões é invulgarmente amplo para uma biblioteca tão estável. Registamos 465 cadeias de versão distintas, e a versão que vemos com mais frequência é 1.13.8. A dispersão vem do modelo de distribuição e não da rotatividade. As cópias ficam dentro de pacotes de outras pessoas, fixadas naquilo que era corrente quando esse pacote foi construído, e só se mexem quando o produto que as transporta se mexe. A deteção de versão é também parcial, porque uma cópia minificada concatenada num ficheiro maior muitas vezes não traz qualquer marcador legível, o que significa que uma parte das instalações aparece na contagem sem versão associada.

Nos Estados Unidos concentram-se 205 484 dos sites onde a encontramos, e a maior parte da mistura de domínios está em .com. O público para uma lista destas não são programadores à procura de uma biblioteca de utilitários. As equipas de segurança da cadeia de fornecimento e de segurança aplicacional querem saber onde é que o código antigo do lado do cliente assenta fisicamente num portefólio. Os fornecedores de desempenho querem sites que ainda entregam código auxiliar que duplica a linguagem. As agências e quem migra plataformas querem provas, numa forma que o cliente aceite, de que um site assenta em fundações lançadas há muito tempo. Quem investiga a forma como as dependências se degradam quer a própria população e o seu movimento entre instantâneos.

Um domínio pode ser verificado à mão na consola do navegador, e para um domínio essa é a ferramenta certa. O valor do descarregamento está antes na forma da população. Que anfitriões, que países, que plataformas coocorrem, que sites carregam a biblioteca juntamente com um jQuery igualmente antigo, e quantos deles caem da lista de um instantâneo para o seguinte. Responder a qualquer uma dessas perguntas a partir de consultas implicaria adivinhar primeiro a lista de domínios, e adivinhar a lista de domínios é exatamente o trabalho que o conjunto de dados existe para eliminar.