חוקרי Bloom Security גילו שב-npm trusted publishing הקשר בין חבילה למאגר נשען על שם המאגר (owner/repo) ולא על מזהה קבוע, עד לפרסום המוצלח הראשון. מי שתופס שם שהתפנה יכול לפרסם גרסאות זדוניות של חבילה של אחר. המחקר מצא מעל 1,500 חבילות חשופות.
הפרטים
אם מתחזק שינה שם של מאגר, העביר או מחק אותו, אפשר היה לתפוס את השם. התוקף יוצר מאגר בשם הזה, מקבל טוקן פרסום ודוחף גרסאות תחת שם החבילה. התנאי: החבילה מעולם לא פורסמה בפועל מהמאגר המוגדר. החוקרים דיווחו לגיטהאב ב-6 ביוני 2026, ומדובר בחבילות שהורדו יחד יותר מ-10 מיליון פעמים. לא דווח על ניצול בפועל.
בעקבות זאת הגדרות שלא אומתו פוקעות כעבור 48 שעות. הגדרה שפורסם ממנה בהצלחה נקשרת לזהות הקבועה של המאגר, ושינוי זהות מחייב קשר אמון חדש. בנוסף, npm דוחה טוקנים של אירועי issue_comment.
נקודות לשים לב
- עבור על ה-trusted publisher של כל חבילה שלך ובדוק שהשם עדיין מצביע על מאגר בשליטתך.
- אם מאגר שונה בשמו, הועבר או נמחק, מחק את ההגדרה וצור אותה מחדש עם השם הנוכחי.
- עקוב אחר אירועי פרסום לא צפויים ב-npm.
- מי שצורך חבילות: הפגם נוגע למתחזקים, ולא דווח על חבילה שנחטפה בפועל.
מקורות: GitHub Changelog · Bloom Security · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
