> А проблема гигантского дерева совсем нерелевантных зависимостей, содержащего по 10 разных статически-слинкованных прибитых гвоздями API-несовместимых версий зависимостей в Cargo решена?

Разверни свое карго локально. Тащи туда только проверенные либы.
Разве это так сложно?

В проектах на дыряшке и любом другом языке будут те же проблемы - сколько новостей про CVE в какой-то либе используемой в проекте можно прочитать на этом сайте? Вот то-то и оно.

> А проблема того, что в такое дерево для соответствующих служб легко всунуть вредоносную зависимость решена? Вопросы, конечно, риторические.

Не знаю, может ты работаешь в соответствующих спецслужбах и расскажешь? Или тыможешь только риторически гадать на кофейной гуще?
А вот в линукс бекдор затащить вполне возможно, например Bvp47 который не заметили за 10 лет. 10 лет, Карл!
Вот она сила дыряшки и отсутвия должного контроля за репой.

> Проект давно по указке из АНБ делает совершенно вредоносные изменения, такие как упразднение trac, переход на заведомо уязвимый и вредоносный (прибитый гвоздями к js с целью заставить пользователя исполнить вредоносные скрипты, на использовании которых GitLab inc. не раз попадалась, в том числе, но не ограничиваясь, использование reCAPTCHA в качестве "капчи" при регистрации) GitLab,

Звучит как бред сумашедшего... но, а почему АНБ? Ты ж писал про NSA! Неужели они не могут договориться даже между собой?

> запрет анонимам оставлять issue,

Попробуй билет на поезд купить без документов. Или сесть на самолет без паспортов.
Хочешь быть анонимом - тебя ждут помойки где не спрашивают, кто ты такой.

> цензуру в блоге и травлю Джейкоба Эпплбаума.

Чего меня должны беспокоить проблемы какого-то пин-доса?