npm 12 przynosi jedną z najpoważniejszych zmian bezpieczeństwa w historii tego menedżera pakietów: skrypty instalacyjne pakietów są domyślnie wyłączone, a rejestr przechodzi na model jawnej zgody. Zespół npm odwraca tym samym logikę, która obowiązywała przez ponad dekadę – to nie użytkownik musi teraz pilnować, co uruchamia się podczas npm install, tylko autor pakietu musi wyraźnie […]
Atak Shai-Hulud na łańcuch dostaw npm skompromitował co najmniej 868 pakietów, które łącznie generują ponad 2 miliardy pobrań miesięcznie. Agresorzy przejęli konto GitHub opiekuna biblioteki Keyv, posiadającej około 127 milionów pobrań tygodniowo. Wkrótce potem złośliwy kod zaczął rozprzestrzeniać się po całym ekosystemie JavaScript, infekując kolejne zależności i kradnąc poświadczenia deweloperów. TL;DR: Aktywny atak Shai-Hulud na […]
Firma Red Hat potwierdziła kompromitację ponad 30 pakietów npm w scope @redhat-cloud-services. Atak, nazwany Miasma, wykorzystuje mechanizm samopowielania – robal infikuje kolejne pakiety w ekosystemie, kradnąc poświadczenia deweloperów z AWS, Azure, GCP, Kubernetes, Vault, GitHub Actions oraz usług chmurowych. TL;DR: Ponad 30 pakietów npm w scope @redhat-cloud-services zostało skompromitowanych 1 czerwca 2026 przez robala Miasma. […]
42 pakiety npm z ekosystemu TanStack zostały skompromitowane w ataku na łańcuch dostaw. Złośliwy kod zinfekował 84 artefakty w 27 minut, kradnąc poświadczenia CI z GitHub Actions. To jeden z najszybciej rozprzestrzeniających się incydentów w historii rejestru npm. TL;DR: Grupa TeamPCP przeprowadziła atak „Mini Shai-Hulud„ na pakiety TanStack, kompromitując 84 artefakty w 27 minut. Atak […]
Jak działał atak na Bitwarden CLI? Złośliwy pakiet @bitwarden/cli w wersji 2026.4.0 został opublikowany w rejestrze npm jako część kampanii łańcucha dostaw powiązanej z atakiem na Checkmarx KICS z 22 kwietnia. Zgodnie z analizą OX Security, pakiet z 250 tysiącami miesięcznych pobrań zawierał samorozprzestrzeniający się robak nazwany Shai-Hulud, który cicho wykradał poświadczenia do publicznych repozytoriów […]
Dwie złośliwe wersje Axios z RAT — jak doszło do ataku? 31 marca 2026 roku zespół Microsoft Security zidentyfikował dwie złośliwe wersje popularnej biblioteki Axios na npm — 1.14.1 oraz 0.30.4. Pakiet ten, pobierany tygodniowo ponad 70 milionów razy, został skompromitowany przez aktora UNC1069, który przejął konto głównego maintainera za pomocą kampanii socjotechnicznej. W rezultacie […]