Una dipendenza downstream è un prodotto, plugin o strumento che include o si basa su un componente di terze parti. Se quel componente presenta una falla di sicurezza, il prodotto downstream può ereditarne il rischio finché il suo manutentore non ricompila, sostituisce o corregge la copia incorporata. Questo è comune con librerie, SDK e moduli runtime condivisi utilizzati all'interno di stack software più ampi.
Nella sicurezza informatica, le dipendenze downstream contano perché gli aggressori spesso prendono di mira il componente riutilizzato, non solo l'applicazione del fornitore originale. Un bug del parser, un problema di memory safety o una falla di esecuzione di codice in una libreria possono influire su molti prodotti contemporaneamente se questi includono la stessa versione. I difensori hanno quindi bisogno di più di un avviso del fornitore: devono tracciare dove il componente è incorporato, verificare quali versioni vengono distribuite e confermare che gli aggiornamenti siano effettivamente arrivati a ogni prodotto interessato. Il sandboxing e una gestione rigorosa dell'input non attendibile possono ridurre l'impatto se una dipendenza downstream è esposta.