TAG

#npm 安全

4 篇文章

TechLab 所有關於「npm 安全」嘅文章、評測同教學，由最新排起。

Keyv 6.0.0 俾人植入 ChainDrop 後，惡意程式借 npm 同 GitHub 憑證自動污染更多套件，正常 provenance 亦照樣過關。以下整理受影響版本、hooks 掃描方法，同撤銷 npm、GitHub、雲端及 AI 工具 token 嘅正確次序。

AsyncAPI 最新事故調查揭露，攻擊者利用配置錯誤嘅 GitHub Actions 偷走高權限 bot 憑證，再借官方 OIDC 發布流程送出五個有可信 provenance 嘅惡意 npm 版本。團隊除咗查 lockfile，仲要追 CI artifact、cache 同實際載入紀錄。

AsyncAPI 供應鏈攻擊涉及四個套件、五個惡意版本，仲經合法 GitHub Actions 同 npm OIDC 流程發布。開發團隊要先查 lockfile、cache 同 CI 紀錄，再按有冇執行過受污染模組，決定隔離主機、重建環境同更換憑證。

Jscrambler 嘅 npm 發布 token 遭人偷走，攻擊者接連推出五個惡意版本，部分仲會喺安裝時執行。開發團隊要翻查 lockfile、CI 記錄同 npm cache；只要惡意程式曾經行過，就要當部機或 runner 已失守，撤銷所有可能外洩嘅 secrets。