تمام نوشته‌های برچسب‌خورده با "npm"
محققان امنیت سایبری یک حمله زنجیره تأمین جدید را کشف کرده‌اند که در آن بسته‌های قانونی در مخازن npm و Python Package Index (PyPI) به خطر افتاده و نسخه‌های مخرب برای سرقت اعتبارنامه‌های کیف پول و اجرای کد از راه دور منتشر شده‌اند. نسخه‌های به خطر افتاده این دو بسته عبارتند از: @dydxprotocol/v4-client-js (npm) - 3.4.1، 1.22.1، 1.15.2، 1.0.31 و
محققان امنیت سایبری دو بسته مخرب در مخزن شاخص بسته پایتون (PyPI) کشف کرده‌اند که خود را به عنوان غلط‌یاب جا می‌زنند اما حاوی قابلیتی برای تحویل تروجان دسترسی از راه دور (RAT) هستند.
محققان امنیت سایبری دو افزونه مخرب Microsoft Visual Studio Code (VS Code) را کشف کرده‌اند که به عنوان دستیارهای کدنویسی مبتنی بر هوش مصنوعی (AI) تبلیغ می‌شوند، اما قابلیت پنهانی برای انتقال داده‌های توسعه‌دهندگان به سرورهای مستقر در چین دارند. این افزونه‌ها که در مجموع 1.5 میلیون بار نصب شده‌اند و هنوز از فروشگاه رسمی Visual Studio قابل دانلود هستند.
مکانیزم‌های دفاعی که NPM پس از حملات زنجیره تأمین 'Shai-Hulud' معرفی کرد، دارای نقاط ضعفی هستند که به مهاجمان اجازه می‌دهد از طریق وابستگی‌های Git آن‌ها را دور بزنند.
154به کاربران پکیج npm با نام "@adonisjs/bodyparser" توصیه می‌شود که به دنبال افشای یک آسیب‌پذیری امنیتی بحرانی که در صورت بهره‌برداری موفقیت‌آمیز، می‌تواند به مهاجم از راه دور اجازه نوشتن فایل‌های دلخواه در سرور را بدهد، به آخرین نسخه به‌روزرسانی کنند. این نقص که با شناسه CVE-2026-21440 (امتیاز CVSS: 9.2) ردیابی می‌شود، به عنوان یک مشکل path traversal که بخش multipart در AdonisJS را تحت تأثیر قرار می‌دهد، توصیف شده است.
محققان امنیت سایبری جزئیات آنچه به نظر می‌رسد نوع جدیدی از Shai Hulud در رجیستری npm با تغییرات جزئی نسبت به موج قبلی که ماه گذشته مشاهده شد باشد را افشا کرده‌اند. پکیج npm که این نوع جدید Shai Hulud را در خود جای داده "@vietmoney/react-big-calendar" نام دارد که در مارس ۲۰۲۱ توسط کاربری به نام "hoquocdat" به npm آپلود شده است و برای اولین بار به‌روزرسانی شد
دومین حمله شای-هولود هفته گذشته حدود 400,000 اطلاعات محرمانه خام را پس از آلوده کردن صدها بسته در رجیستری NPM (مدیر بسته‌های Node) و انتشار داده‌های سرقت شده در 30,000 مخزن GitHub افشا کرد.
عاملان تهدید کره شمالی پشت کمپین Contagious Interview از ماه گذشته تاکنون 197 بسته مخرب دیگر را در رجیستری npm منتشر کرده‌اند. این بسته‌ها بیش از 31,000 بار دانلود شده و برای تحویل نوعی از OtterCookie طراحی شده‌اند که ویژگی‌های BeaverTail و نسخه‌های قبلی OtterCookie را ترکیب می‌کند.
محققان امنیت سایبری بسته مخرب npm با نام "@acitons/artifact" را کشف کرده‌اند که با استفاده از تکنیک typosquatting بسته مشروع "@actions/artifact" را تقلید کرده و قصد هدف‌گیری مخازن متعلق به GitHub را دارد.
محققان امنیت سایبری چندین بسته مخرب را در اکوسیستم‌های npm، Python و Ruby شناسایی کرده‌اند که از Discord به عنوان کانال فرمان و کنترل (C2) برای انتقال داده‌های سرقت شده به وب‌هوک‌های تحت کنترل مهاجمان استفاده می‌کنند.
