npm Trusted Publishing Flaw With 10 Million Downloads Exposes 1,500+ Packages to Malicious Takeover
13/10/2026-13:56 13/10/2026-14:00 מחשבים וטכנולוגיה Cyber Security News דיווח
.webp)
A security flaw in npm’s Trusted Publishing feature exposed more than 1,500 packages to possible takeover through reclaimed GitHub repository names. The affected packages accounted for more than 10 million total downloads and over one million downloa
סיכום מאמרפגיעות אבטחה שנמצאה ב‑npm Trusted Publishing חשפה יותר מ‑1,500 חבילות לאפשרות השתלטות זדונית באמצעות שמות מאגרי GitHub שנשלפו מחדש. החבילות הפגועות צברו יחד יותר מ‑10 מיליון הורדות, ובהן גם יותר ממיליון הורדות נוספות שנזכרו בדו"ח. התקיפה מתאפשרת כאשר מפתח משחרר שם מאגר GitHub ולאחר מכן תוקף רוכש את אותו שם ומעלה גרסה מזויפת של החבילה, אשר npm מאשרת כ‑"מהימנה" בשל תכונת Trusted Publishing. זה מאפשר לתוקף להפיץ קוד זדוני למשתמשים שמעדכנים את החבילות מבלי לחשוד. צוות npm עדכן את המערכת כדי למנוע רישום חוזר של שמות מאגרים שנמחקו, וממליץ למפתחים לאפשר אימות דו‑שלבי ולבדוק את מקור השמות לפני פרסום גרסאות חדשות. האירוע מדגיש את הצורך בחיזוק אבטחת שרשרת האספקה במערכות ניהול חבילות פתוחות.תוכן זה נוצר על ידי בינה מלאכותית.
.webp){kind=icon}
