Tag: tinycolor

40 npm Packages Compromised in Supply Chain Attack Using bundle.js to Steal Credentials

2025/09/16 TheHackerNews — npm レジストリを標的とする、新たなソフトウェア・サプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。この攻撃は、複数のメンテナーが所有する 40 以上のパッケージに影響を与えている。サプライチェーン・セキュリティ企業 Socket は、「侵害されたバージョンに取り込まれた NpmModule.updatePackage 関数は、パッケージの tarball をダウンロードし、package.json を改変し、ローカル・スクリプト (bundle.js) を挿入し、アーカイブを再パックして再公開するものだ。それにより、下流のパッケージが自動的にトロイの木馬化される」と述べている。

Continue reading “npm の 40 パッケージに侵害が波及：TruffleHog による偵察と感染チェーンのためのコード挿入”