رجیستری npm تمام نسخه‌های کتابخانه مشروع Stylus را حذف کرده و آن‌ها را با صفحه “نگهداری امنیتی” جایگزین کرده است که باعث خرابی پایپ‌لاین‌ها و بیلدهای پروژه‌های متعدد در سراسر جهان شده است. این کتابخانه مشروع که هفته‌ای ۳ میلیون بار دانلود می‌شود، ابزاری انقلابی برای تولید CSS محسوب می‌شود. بر اساس گفته‌های توسعه‌دهنده Stylus، لی چن، این اتفاق به صورت تصادفی رخ داده و او در انتظار بازگردانی دسترسی از سوی npm است.
تحقیقات امنیتی نشان می‌دهد که علت اصلی این مشکل، انتشار سه بسته مخرب توسط یکی از نگهدارندگان فرعی Stylus به نام “panya” بوده است. پس از شناسایی این بسته‌های مخرب که حاوی کدهای اثبات مفهوم (proof-of-concept) برای حمله dependency confusion بودند، npm حساب کاربری panya را مسدود کرده و به اشتباه تمام بسته‌های مرتبط با آن از جمله Stylus را نیز حذف کرده است. توسعه‌دهندگان می‌توانند با استفاده از راه‌حل‌های موقت مانند ارجاع مستقیم به مخزن GitHub یا استفاده از overrides در package.json، به کتابخانه دسترسی داشته باشند.
کلمات کلیدی : npm, Stylus, کتابخانه, امنیتی, dependency confusion, package.json
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.