Moderne Webanwendungen auf Basis von Node.js beziehen ihre Funktion aus einigen Hundert bis weit über tausend npm-Paketen. Bewusst ausgewählt hat das Entwicklungsteam davon nur einen Bruchteil, der überwiegende Teil kommt über Abhängigkeiten automatisch dazu. Jedes dieser Pakete darf bei der Installation eigene Skripte ausführen, bei npm bis Version 11 standardmäßig und ungefragt. Diese Kombination aus Komplexität und automatischer Codeausführung macht die npm-Registry seit Jahren zum bevorzugten Angriffsziel.