$ ls ./npm
Le 4 août, des versions piégées de keyv, flat-cache et file-entry-cache ont exécuté un voleur d'identifiants au npm install, puis se sont propagées à des centaines de paquets.
Le scope npm @mastra a été republié avec une dépendance piégée, easy-day-js, qui installe un voleur de données et un cheval de Troie. Si vous avez installé une version du 17 juin, considérez la machine compromise.
Un attaquant a publié 84 versions malveillantes de 42 paquets @tanstack via le pipeline officiel du projet. Le malware vole les secrets cloud, npm, GitHub et SSH à l'installation.