← Архив

#npm

9 ноября 2026 г.November 9, 2026 день целиком 2 новостиstories

Безопасность Пакет @ethersphere/bee-js 13.3.0 подменили: при установке крадёт данные кошелька SwarmThe @ethersphere/bee-js 13.3.0 package was compromised to steal Swarm wallet data at install time В npm-пакете @ethersphere/bee-js версии 13.3.0 обнаружили вредоносный код, который выполняется при установке, ищет данные кошелька Swarm Desktop и пытается закрепиться в системе. Судя по всему, для публикации использовали украденные учётные данные сопровождающего.The @ethersphere/bee-js npm package version 13.3.0 contains malicious install-time code that looks for Swarm Desktop wallet data and tries to establish persistence. The release appears to have used stolen maintainer credentials.
Безопасность Критическая RCE в React Server Components осталась без CVE — сканеры её не видятA critical React Server Components RCE has no CVE, and scanners stay silent Уязвимость GHSA-xqc2-xf4c-x3h3 с оценкой 9.5 позволяет без аутентификации выполнить код через RSC-транспорт; исправления вышли 14 октября. CVE ей не присвоили, записи в глобальной базе GitHub нет, поэтому Dependabot и npm audit молчат, а публичных сообщений об эксплуатации на 8 ноября не было.GHSA-xqc2-xf4c-x3h3, rated 9.5, allows unauthenticated code execution through the RSC transport; fixes shipped on 14 October. It has no CVE and no entry in GitHub's global advisory database, so Dependabot and npm audit stay quiet, and there were no public reports of exploitation as of 8 November.

8 ноября 2026 г.November 8, 2026 день целиком 1 новостьstory

Безопасность Ruby-гем strutil-core оказался червём: крал SSH и Git-доступы и пытался размножиться по npm и PyPIThe strutil-core Ruby gem turned out to be a worm stealing SSH and Git access and trying to spread via npm and PyPI Вредоносный гем strutil-core 1.0.1 пробыл в публичном доступе около пяти часов: его пометили как malware через 70 секунд после публикации, но удалили только к 09:13 UTC. При установке он запускал червя, который собирал учётные данные и пытался распространиться через npm, PyPI, Artifactory, GitHub и GitLab.The malicious gem strutil-core 1.0.1 was publicly available for about five hours: it was flagged as malware 70 seconds after publication but removed only by 09:13 UTC. On install it launched a worm that harvested credentials and tried to spread through npm, PyPI, Artifactory, GitHub and GitLab.

27 октября 2026 г.October 27, 2026 день целиком 1 новостьstory

Разработка GitHub запустил package firewall — прокси, фильтрующий npm-пакеты до установкиGitHub launches package firewall — a proxy that filters npm packages before install Новый сервис в публичном превью встаёт между вашими машинами и npm-реестром и блокирует вредоносные, уязвимые и слишком свежие пакеты. Это ответ на волну атак на цепочку поставок, где пакеты ставят агенты и CI без участия человека.A new public-preview service sits between your machines and the npm registry and blocks malicious, vulnerable and too-fresh packages. It targets the wave of supply-chain attacks where agents and CI install packages with no human in the loop.

25 октября 2026 г.October 25, 2026 день целиком 1 новостьstory

Безопасность AI-агентов для кода перехватывают через вредоносный AGENTS.md в папке «Загрузки»AI coding agents hijacked via a malicious AGENTS.md in the Downloads folder Если запустить Codex из ~/Downloads, подброшенный туда AGENTS.md заставлял агента установить вредоносный npm-пакет — в 90% попыток. Похожий трюк с CLAUDE.md перенаправлял трафик Claude Code. Патчить нечего: дело в том, откуда запускается агент.Running Codex from ~/Downloads let a planted AGENTS.md make the agent install a malicious npm package — in 90% of attempts. A similar CLAUDE.md trick redirected Claude Code's traffic. There is nothing to patch: it is about where the agent is launched.