$ ls ./supply-chain
Pendant environ deux heures, la version 1.107.0 de LiteLLM a embarqué un malware qui aspire clés cloud, jetons et fichiers .env à chaque lancement de Python. Comment savoir si vous êtes touché.
Le 19 octobre, les binaires des versions 0.11.0 à 0.15.0 de la CLI d'OVHcloud ont été remplacés sur GitHub par des versions qui volent identifiants cloud, clés SSH et jetons.
Le 4 août, des versions piégées de keyv, flat-cache et file-entry-cache ont exécuté un voleur d'identifiants au npm install, puis se sont propagées à des centaines de paquets.
Un dataset piégé a permis d'exécuter du code sur l'infrastructure de traitement de Hugging Face, puis de voler des identifiants internes. La plateforme recommande de renouveler vos jetons.
Le scope npm @mastra a été republié avec une dépendance piégée, easy-day-js, qui installe un voleur de données et un cheval de Troie. Si vous avez installé une version du 17 juin, considérez la machine compromise.
Un attaquant a publié 84 versions malveillantes de 42 paquets @tanstack via le pipeline officiel du projet. Le malware vole les secrets cloud, npm, GitHub et SSH à l'installation.