Bloom Security araştırmacıları, npm'in Güvenilir Yayıncılık özelliğinin, bir saldırganın kimlik bilgisi çalmadan başka birinin paketinin yeni sürümlerini yayınlamasına olanak tanıdığını keşfetti. Saldırganın yalnızca bakımcının geride bıraktığı bir GitHub depo adını kaydettirmesi gerekiyordu. Bloom, bu şekilde maruz kalan 1.500'den fazla npm paketi saydı ve npm'in sahibi GitHub, düzeltmeler yayınladığını bildirdi. Açığa çıkan paketler...
Bloom Security araştırmacıları, npm'nin Güvenilir Yayınlama özelliğinin, bir saldırganın kimlik bilgisi çalmadan başka birinin paketinin yeni sürümlerini yayınlamasına olanak tanıdığını buldu. Saldırganın yalnızca bakımcının geride bıraktığı GitHub deposu adını kaydetmesi gerekiyordu. Bloom, bu şekilde açığa çıkan 1.500'den fazla npm paketini saydı ve npm'nin sahibi olan GitHub, düzeltmeler gönderdiğini söylüyor. Açığa çıkan paketlerin toplamda 10 milyondan fazla indirmesi var ve bir milyondan fazla indirme işlemi gerçekleşti.
npm Trusted Publishing hatası, 1.500'den fazla npm paketinin devralınmasına neden oldu yazısı ilk olarak Help Net Security'de göründü.
