Zanshin Un magazine di cybersecurity
Filtra:

Tag

npm

7 articolo/i

Breaking bassa

Jscrambler compromesso

La release 8.14.0 di Jscrambler per npm è stata compromessa e ha distribuito un infostealer in Rust durante l'installazione, mettendo a rischio utenti di Windows, macOS e Linux. La vulnerabilità sottolinea la debolezza delle catene di approvvigionamento.

In 30 secondi
  • Jscrambler compromesso con infostealer in Rust
  • Vulnerabilità nella catena di approvvigionamento
  • 42% delle vulnerabilità sfruttate prima della divulgazione
  • Implementazione di un programma di gestione dei rischi dei fornitori

Leggi l'articolo →

Breaking bassa

29 minuti per essere attaccati

Un pacchetto NPM di Bitwarden è stato colpito in un attacco di supply chain legato a TeamPCP, mettendo in luce la vulnerabilità del sistema di gestione delle dipendenze

In 30 secondi
  • Attacco di supply chain contro pacchetto NPM di Bitwarden
  • Legato a TeamPCP e worm Shai-Hulud
  • 42% delle vulnerabilità sfruttate nel 2025 armate prima della divulgazione pubblica
  • Implementare ciclo di patch di 14 giorni per dipendenze NPM

Leggi l'articolo →

Breaking bassa

Miasma attacca la supply chain

Un attacco di supply chain ha compromesso 42 pacchetti npm di Red Hat, esponendo una vulnerabilità più profonda nella catena di approvvigionamento del software

In 30 secondi
  • Verifica pacchetti Red Hat
  • Implementa convalida dei pacchetti
  • Migliora gestione credenziali
  • Riduci superficie di attacco

Leggi l'articolo →

Breaking bassa

Bitwarden compromesso

La compromissione della CLI di Bitwarden fa parte di una campagna di attacco alla supply chain di Checkmarx, mettendo in luce la fallibilità della sicurezza di terze parti e l'importanza della gestione delle dipendenze

In 30 secondi
  • Compromissione della CLI di Bitwarden
  • Codice malintenzionato in bw1.js
  • Rubrica di credenziali degli sviluppatori
  • Importanza della gestione delle dipendenze

Leggi l'articolo →

Breaking bassa

Supply chain sotto attacco

La recente campagna di Scattered Spider ha sfruttato vulnerabilità in pacchetti npm e NuGet, rubando token e credenziali da oltre 2000 app, mettendo in luce la necessità di una migliore gestione del rischio nella catena di approvvigionamento

In 30 secondi
  • 2000 app colpite
  • 29 minuti tempo di intrusione medio
  • 4,44 milioni di dollari costo medio di violazione
  • 30% riduzione della superficie di attacco con convalida dei pacchetti

Leggi l'articolo →

Breaking bassa

Shai-Hulud si replica

Il codice sorgente di Shai-Hulud è stato reso pubblico e ha già generato cloni che hanno compromesso 600 pacchetti npm e PyPI, sfruttando le catene di approvvigionamento open-source come superfici di attacco autoreplicanti

In 30 secondi
  • 600 pacchetti compromessi
  • Codice sorgente di Shai-Hulud pubblico
  • Catene di approvvigionamento open-source a rischio
  • Difesa tramite Sigstore e SLSA

Leggi l'articolo →

Breaking bassa

Shai-Hulud ha infettato 800 pacchetti npm e nessuno ha premuto stop

Un worm open source chiamato Shai-Hulud si è diffuso in 800 pacchetti npm, rubando segreti da ambienti CI/CD e colpendo infrastrutture basate su GitHub, AWS e Kubernetes. Non si tratta di malware sofisticato, ma di una falla sistemica nella fiducia verso le dipendenze open source, aggravata da processi di assurance dei fornitori inesistenti.

In 30 secondi
  • Shai-Hulud si è diffuso in 800 pacchetti npm sfruttando dipendenze compromesse
  • Rubava segreti da CI/CD: GitHub, AWS, Kubernetes, Vault, 1Password
  • Clonato da codice open source di TeamPCP, ora usato per botnet DDoS
  • 30% delle violazioni coinvolge terze parti, +100% in un anno (Verizon DBIR 2025)

Leggi l'articolo →