تم نشر أداة محفظة BSV الإصدار 2.4.0 على npm في 6 يوليو مع سجل تغييرات يذكر GHSA-36f9-7rg5-cpf8 ويوصف الهجوم. لكن التحذير الرسمي لم يُنشر حتى 24 سبتمبر. مع التخزين البعيد، وهو الإعداد الافتراضي، كانت الإصدارات الأقدم توقّع أي نص مستلم يُعيد خادم التخزين، بينما استمرت التطبيق في عرض العنوان الذي أدخلته. كان 556 من أصل 1,866 تنزيلًا الأسبوع الماضي لا تزال إصدارًا ضمن النطاق المتأثر. تنبيهات Dependabot تعتمد على قاعدة بيانات التحذيرات، لذا خلال تلك الأسابيع الأحد عشر، ظل التحذير مدرجًا في سجل التغييرات. هل يقرأ أحد حقًا سجلات التبعيات بحثًا عن معرفات GHSA، أم أن الجميع ينتظرون التنبيه؟