Amin'ny 13 Oktobra 2025, : ny fihenan'ny fiainana token vaovao (maximum 90 andro, fe-potoana 7 andro), ny token fidirana voatery hanolo ny token klasikany, ary ny fetran'ny TOTP 2FA amin'ny tombony amin'ny WebAuthn. Ny fiovana lehibe amin'ny fiarovana amin'ny fanamarinana npm dia nahatratra. Ny fiovana dia mifanaraka amin'ny fomba fiarovana maoderina, manaraka ny AWS, Google Cloud, ary GitHub. Fa misy fanontaniana tsy mahatsiravina ny fiarovana fiaraha-monina dia tsy manontany mafy ampy: na inona na inona amin'izany no nanakana ny fanafihana efa hitantsika? Ny valiny dia tsia. Ny tena fanafihana vektor Andro vitsivitsy talohan'ny fampahafantarana ny npm, tamin'ny 8 Septambra 2025, iray amin'ireo loza lehibe indrindra tao amin'ny sehatry ny fivarotana ny npm tao amin'ny tantaran'izao fotoana izao dia nitranga rehefa voasoratra malaza toy ny debug sy chalk miaraka amin'ny orinasa 16 hafa no voasambotra ary nitarika ny npm miaraka amin'ny code ratsy fanentanana cryptocurrency wallets. Ny mpanara-maso dia nanamafy fa ny kaontiny npm dia navoaka tamin'ny alàlan'ny mailaka 2FA tena mahatoky nalefa avy amin'ny sehatra ratsy (npmjs.help). Ny mpanafika dia tsy voatery handrava token maharitra. Tsy nampiasa ny fahazoan-dalana token malemy izy ireo. Izy ireo ihany no naniraka mailaka mahatoky ary nanangona ny anaran'ny mpampiasa, ny tenimiafina, ary ny code TOTP velona, dia nampiasa azy ireo mba handray ny kaonty tanteraka ary hamoaka dikan-drakitra ratsy. Ny dikan-tsarimihetsika malware dia velona nandritra ny ora roa ihany, saingy nandritra ny fotoana fohy 2 ora izay nahazoan'ny dikan-tsarimihetsika malware tao amin'ny npm, ny code malware dia nahatratra ny 1 amin'ny 10 ny tontolo iainana cloud. Tamin'ny taona 2024, nahita fanafihana mahatsiravina kokoa izahay. Ny XZ Utils backdoor dia nanana anjara tamin'ny mpandray anjara fandrahonana iray izay nandany roa na telo taona teo amin'ny fanorenana ny fahatokisan'ny mpandray anjara atao hoe Jia Tan, ary niakatra tsy tapaka ny andraikitra amin'ny fanamafisana amin'ny alalan'ny injeniera ara-tsosialy. Nanomboka tamin'ny 2022, ny kaonty saribakoly azo antoka dia nanomboka nanindry ny mpandrindra voalohany noho ny tsy fahampian'izy ireo amin'ny fampiharana ny fanavaozana, izay nahatonga an'i Jia Tan ho nomena ny toetra amin'ny fanamafisana. Rehefa azo itokisana, Jia Tan dia nanolotra code backdoor tamin'ny Febroary sy Martsa 2024 izay nanararaotra ny XZ Utils build process, mifantoka amin'ny fametrahana code backdoor ho an'ny fametrahana Linux lehibe. Ity fanafihana ity dia nahazo valiny CVSS amin'ny 10.0, ny valin'ny avo indrindra azo atao, ary tsy hita fa taorian'ny nanadihadiana ny olana 500ms amin'ny Microsoft mpamorona. Tsy misy fanafihana mifandraika amin'ny token tratra, ary tsy voatery ho voavonjy amin'ny fiainana token fohy kokoa. Inona ny npm dia tena mametraka Mba ho mazava tsara, ny fiovana amin'ny npm dia tsy tsy misy dikany. Ny token maharitra dia vektor voalohany ho an'ny fanafihana amin'ny tambajotra, ary ny fiainana fohy kokoa dia mametra ny varavarankely amin'ny fanehoan-kevitra. Ny fiovana avy amin'ny TOTP amin'ny fanamarinana mifototra amin'ny WebAuthn dia tena tsara kokoa - ny passskeys dia sarotra kokoa amin'ny phish noho ny code indray mandeha. Fa ireo no fanatsarana ny fahasalamana, fa tsy fiovan'ny fiarovana fototra. Ny mpanafika dia mandroaka token avy amin'ny rafitra CI / CD Ny token dia manana fahazoan-dalana soratra Ny mpitsabo dia tsy mahatsapa mandritra ny volana Ny mpanafika dia mampiasa ny token manokana mba hamerina ny packs malware Izany dia ny fitsaboana ny aretina (token exposure) fa tsy ny aretina (tsy misy fanamarinana code, tsy ampy avy amin'ny, ny fiarovana ny kaonty mpitantana, ary amin'ny fototra, ny fahafahana ahafahana mamoaka code malware). Ny olana sarotra amin'ny NPM dia tsy mamaha Ny fanafihana tamin'ny volana septambra 2025 npm dia mampiseho ny fahavoazana fototra: Ny fampielezan-kevitra tokana iray dia nipoitra tao amin'ny tontolo iainana ao anatin'ny ora vitsivitsy, mampiseho ny fomba ahafahan'ny fanafihana phishing tokana iray manerana ny sehatry ny fivarotana avo lenta manontolo. Na izany aza, ny fanitsiana ny fiarovana amin'ny npm dia tsy mandinika: Ny fanafihana tamin'ny Septambra dia nahomby, na dia nanana fahafahana 2FA aza ny mpitantana. Ny sehatry ny fanafihana (npmjs.help fa tsy npmjs.com) dia ampy. Ny fiainana fohy kokoa dia tsy misy dikany rehefa mifehy ny kaonty ihany ny mpanafika. Social engineering fanafihana: ny XZ Utils zava-nitranga nanaporofo fa ny teknolojia sosialy injeniera dia manana fepetra ara-teknika ambany kokoa mba hahazoana ny fidirana feno amin'ny tontolo iainana fampandrosoana noho ny mialoha supply chain fanafihana. Malicious code detection: Ny mpanara-maso ara-drariny miaraka amin'ny fahazoan-dalana ara-drariny dia afaka mamoaka na inona na inona. Ny code malware napetraka ao amin'ny npm packs dia natao manokana mba handray anjara amin'ny cryptocurrency wallets, mampifandray asa manan-danja mba hisorohana ny fifamoivoizana an-tserasera sy ny fifandraisana amin'ny wallet amin'ny fotoana tena izy. Ny olana amin'ny fitokisana ny mpitantana: Ny loharanom-baovao misokatra dia mihazakazaka amin'ny fitokisana. Ny mpandrindra Josh Junon, fantatra amin'ny anarana hoe 'qix', dia nanana fanampiny ny 1,800 GitHub fandraisana anjara tamin'ny taona lasa - mpandrindra azo itokisana sy voamarina. Na izany aza, nahazo mailaka izy mba hamerina ny fanamarinana roa-matetika izay hita hoe "foanana ara-drariny", fa malemy. Inona no tena hanampy Ny vahaolana izay mety hampihenana ny loza amin'ny tambajotra dia lafo, mifanohitra ary manova ny toro-hevitra fototra amin'ny npm hoe "mamoaka na inona na inona, avy hatrany": Fanamarinana ny code mandrakariva ho an'ny packs mahery fiantraikany: Ny packs mihoatra ny fetran'ny downloads isan-kerinandro dia tokony mila fanamarinana ho an'ny dikan-tsary vaovao, indrindra ireo izay manampy ny fitoviana na ny fanovana ara-panorenana. Fanadihadiana momba ny fitondran-tena amin'ny vanim-potoan'ny famoahana: Ny rafitra automatique izay mampiseho endrika tsy mahazatra - ny fitondran-tena vaovao, ny fehezan-dalàna, ny tambajotra antso ho an'ny sehatra tsy ampoizina, ny crypto wallet hooks. Maintainer Identity Verification: Real identity fepetra ho an'ny mpandraharaha amin'ny fampiasana ankapobeny fako. Tsy pseudonyms tsaratsara kokoa nandritra ny taona maro, fa ny olona azo jerena. Fangatahana avy amin'ny entana: Fanamafisana ara-drariny sy fanamarinana izay mampiseho tsy hoe iza no namoaka ny paketa, fa izay nitranga ny famolavolana, avy amin'ny loharanom-baovao izay manolotra, ary amin'ny fahasamihafana. Fitsarana politika: Ny fiovana lehibe amin'ny dikan-teny na ny fitoviana vaovao ao amin'ny paketa malaza dia tokony hitarika fanaraha-maso fanampiny, fa tsy famoahana avy hatrany. Ny fiovana amin'ny npm dia hivoaka tsy tapaka, amin'ny fiantraikany amin'ny fe-potoan'ny token amin'ny fiandohan'ny Oktobra ary ny famoahana ny token klasikany amin'ny tapaky ny Novambra. Ireo fiovana ireo dia mifanaraka amin'ny fitsipika ara-barotra - AWS, Google Cloud, ary sehatra hafa no niova ho amin'ny fampahafantarana fohy taona lasa izay. Ny fahamarinana tsy mahasoa Ny npm dia mahatsapa fa "ny fiarovana ny npm dia andraikitra samihafa" ary fa "ireo fiovana ireo dia mety hiteraka fihenjanana mandritra ny fotoana". Ny fanafihana tamin'ny volana septambra dia nanaporofo izany: an'arivony ireo mpamorona dia afaka nametraka packs malware nandritra ny varavarankely, ary efatra ora taorian'ny fanamafisana ny fifanarahana, ny npm dia namoaka ny dikan'ny packet rehetra. Ny rafitra dia niasa satria ny vondrom-piarahamonina nahita ny fanafihana haingana ary ny npm dia afaka mamaly. Ny npm dia manana paketa 2 tapitrisa izay voatahiry amin'ny an'arivony mpamorona solontenan'ny mpamorona, maro no mihazakazaka amin'ny loharanom-baovao ho toy ny tetikasa ankavanana. Ny sehatra dia manoro hevitra mafy ny fampidirana ny Publishing azo itokisana (OIDC), izay manala token-taona tanteraka amin'ny fampiasana fampahafantarana ara-potoana manokana avy amin'ny CI / CD mpamatsy. Ny fahamarinana mahatalanjona dia ny famerenana token sy ny famindrana WebAuthn dia fanatsarana fiarovana azo jerena izay toa tsara amin'ny lahatsoratra changelog. Manatanteraka ny fahalalahana tena izy ireo ary mampifanaraka ny npm amin'ny fampiharana fiarovana maoderina. Fa tsy mamaha ny olana fototra izy ireo: ao amin'ny tontolo iainana izay misy olona afaka mamoaka na inona na inona avy hatrany, ny rohy ratsy dia tsy token mandrakizay - dia fitokisana ny tenany. Hatramin'ny npm miady amin'ny fanadihadiana rafitra code, ny fitondran-tenan'ny fitondran-tena, ary ny zava-misy fa "mamoaka avy hatrany" mifanohitra amin'ny "mamoaka azo antoka", dia miasa amin'ny aretina isika raha mandroso ny aretina.

Hot off the press! This story contains factual information about a recent event.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

ENCAPSULATION TECHNOLOGIES

At Encapsulation.Tech we organize and structure code, enhancing security and promote a software design.

Encapsulation's blog

Ity horonam-peo ity dia novokarina tamin'ny fiteny niandohan'ny tantara!

Ny fetran'ny token vaovao amin'ny npm dia tsy hanakana ny fanafihana izay tena mitranga

About Author

COMMENTS

HANG TAGS

ITY ARTICLE ITY NO NARESAKA TAMIN'NY

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps