Vụ tấn công vào chuỗi cung ứng NPM lại xảy ra, @ctrl/tinycolor đã phát hành phiên bản độc hại.

PANews 16 tháng 9, thông tin rằng Scam Sniffer đã phát hiện một vụ tấn công khác nhằm vào chuỗi cung ứng NPM, @ctrl/tinycolor (với 2,2 triệu lượt tải mỗi tuần) đã phát hành một phiên bản độc hại. Phiên bản này sẽ chạy chương trình đánh cắp thông tin khi npm thực hiện script postinstall (sau khi cài đặt) để quét và đánh cắp dữ liệu nhạy cảm. Tải trọng độc hại này đã lạm dụng công cụ quét thông tin nhạy cảm hợp pháp TruffleHog. Vui lòng kiểm tra xem bạn có tải xuống phiên bản bị ảnh hưởng hay không, tạm dừng các hoạt động cài đặt/cập nhật và cố định phiên bản thành phiên bản an toàn đã biết.