dependency hijacking