unpkg è una CDN che distribuisce file di pacchetti npm come contenuto web pubblico. Invece di scaricare un pacchetto dal registro e compilarlo localmente, un browser o uno script può recuperare i file pubblicati direttamente dallo specchio. Questo rende unpkg utile per l'accesso rapido a librerie JavaScript, demo e risorse statiche.
Nella sicurezza informatica, questa comodità può anche essere abusata. Gli attaccanti possono inserire HTML, script o pagine-esca all'interno dei contenuti pubblicati di un pacchetto e usare unpkg per ospitarli con un dominio dall'aspetto affidabile e una distribuzione rapida. Questo è utile per il phishing, le pagine di verifica false e altri flussi di ingegneria sociale, perché il contenuto sembra provenire dall'infrastruttura degli sviluppatori. I difensori dovrebbero considerare non affidabili le pagine inaspettate servite da specchi di pacchetti, ispezionare i reindirizzamenti e i tipi di file, e ricordare che una CDN affidabile non garantisce contenuti affidabili.