Como os pacotes são verificados, e remoções
As verificações pelas quais toda versão passa antes da publicação, as retiradas e os pedidos de titulares de direitos.
Antes de uma versão ser publicada
Toda versão é limpa, comparada com o código de licença do próprio fornecedor, analisada e passa por lint. A aba Segurança de cada pacote mostra as verificações e seus resultados por versão:
- Análise de malware: cada arquivo de cada versão, comparado com o banco de assinaturas do ClamAV.
- Regras de padrões: regras para web shells, carregadores ofuscados, PHP codificado e padrões conhecidos de nulling.
- Análise de PHP: includes remotos, entrada de requisição que chega a funções de shell, decodificadores que alimentam o eval, PHP escondido em imagens, fontes ou arquivos compactados, substituições de configuração do servidor.
- Integridade da licença: o código de licença, ativação e atualização é comparado com o código do próprio fornecedor; código de licença alterado nunca é publicado.
- Sintaxe PHP: cada arquivo PHP é interpretado sem erros nas versões do PHP que o repositório suporta.
- Política de recursos: arte, fontes, mídia e conteúdo de demonstração que possam ter licença própria são substituídos por marcadores de posição ou removidos.
Uma versão que não passa não é publicada. A aba informa quantas versões foram retidas.
Na aba Versões, Verificado ao lado de uma versão leva a esses resultados.
Quando um problema é encontrado depois
Se uma versão publicada se revelar um problema, ela é retirada: o Composer não consegue mais instalá-la, quem acompanha o pacote é avisado e os webhooks são disparados. As cópias já instaladas continuam funcionando. Um projeto mostra Versão instalada retirada para os sites que a usam.
Vulnerabilidades relatadas publicamente para um plugin ou tema são outro assunto: veja Avisos de segurança.
Remoções
Titulares de direitos podem pedir a remoção conforme a política de remoção. Uma remoção interrompe imediatamente os downloads pelo Composer e pelo site; a página do pacote informa isso, e os projetos mostram Pacote removido.
Para denunciar um pacote você mesmo, use Denunciar este pacote no final da barra lateral da página dele.
Isso não respondeu à sua pergunta? Falar com o suporte.