Se ha vuelto a producir un ataque contra la cadena de suministro de NPM, @ctrl/tinycolor ha lanzado una versión maliciosa.

PANews 16 de septiembre - Scam Sniffer ha detectado otro ataque dirigido a la Cadena de suministro de NPM. Se ha publicado una versión maliciosa de @ctrl/tinycolor (con 2,2 millones de descargas semanales) que ejecuta un programa de robo de información al ejecutar el script postinstall en npm, para escanear y robar datos sensibles. Esta carga maliciosa ha abusado de la herramienta de escaneo de información sensible legítima TruffleHog. Por favor, verifique si ha descargado la versión afectada, suspenda las operaciones de instalación/actualización y fije la versión a una versión conocida como segura.