ثغرة SlugFest في النشر الموثوق على npm تعرّض أكثر من 1500 حزمة للاستيلاء

اكتشفت Bloom Security أن مهاجمًا يمكنه تسجيل اسم مستودع GitHub مهجور والحصول على رمز نشر صالح لحزمة npm ما زالت تثق بالموقع القديم. وتجاوز إجمالي تنزيلات الحزم المتأثرة 10 ملايين.

لماذا يهم ذلك؟ هجمات سلاسل توريد البرمجيات تستغل الثقة في الحزم والمستودعات والصور الجاهزة، فتصل الشيفرة الخبيثة إلى آلاف المشاريع دفعة واحدة.

ماذا تفعل؟ ثبّت إصدارات الاعتماديات، وراجع مصادر الحزم الجديدة قبل تشغيلها، وألغِ الرموز القديمة غير المستخدمة، واعتمد قائمة مكونات البرمجيات SBOM وفحصًا مستمرًا للاعتماديات.