እንደየሳምንቱ፣ የማልዌር ማወቂያ ስርዓቶቻችን በሺዎች የሚቆጠሩ አዳዲስ እና የተዘመኑ ፓኬጆችን በሕዝብ መዝገቦች ውስጥ ይቃኛሉ። ከጥቅምት 4 እስከ 9፣ 2026 ባለው ጊዜ ውስጥ 35 ተንኮል አዘል የጥቅል ስሪቶችን አረጋግጠናል። — በnpm 31፣ በPyPI 3 እና በComposer 1 — አስር ፓኬጆች እርስ በእርስ በሦስት ደቂቃዎች ውስጥ በታተሙ፣ ሁለት የተገለበጡ የስም ክፍተቶች በእያንዳንዱ አራት ስሪቶች ላይ ተዘርግተዋል፣ እና የቤይሊስ የማስመሰል ዘመቻ አሁንም ቀጥሏል።
አስር በሶስት ደቂቃዎች ውስጥ
በጥቅምት 4፣ ከ01:00 እስከ 01:03 ባለው ጊዜ ውስጥ፣ አስር npm ፓኬጆች ተደጋግመው ተረጋግጠዋል፣ እያንዳንዳቸውም ተያይዘዋል 100.0.0: ai-workshop-radio-app, ai-workshop-radio-lambda, ai-workshop-maa15-radio, apl-rive-renderer, brioche-apl-dev-env, figma-to-apl, alexa-cybertron-team-code-review-agent, live-detection-dashboard, okra-cloud-cdk ና niksinnkatalapp - ጋር eslint-plugin-skywagon-web ወደ ተመሳሳይ ደረጃ መድረስ 100.0.0 በዚያ ጠዋት ቀደም ብሎ። ስሞቹ የሚሉት ናቸው፡- በሕዝብ npm ላይ ምንም ምክንያት የሌለው ውስጣዊ ድምፅ ያላቸው መሳሪያዎች። እነሱን በመሰካት ላይ 100.0.0 ህጋዊ ለመምሰል የሚደረግ ሙከራ አይደለም። ውስጣዊ ፓኬጁ ከተወሰነው ከማንኛውም ስሪት በላይ ለመቀመጥ የሚደረግ ሙከራ ነው፣ ስለዚህ የተሳሳተ መዋቅር መጀመሪያ የአጥቂውን ቅጂ ለማግኘት ይደርስበታል።
የተዘረጉ ስሞች፣ የተነፉ ስሪቶች
ሁለት የተዘረጉ የስም ቦታዎች ተመሳሳይ ሀሳብን በትዕግስት ወስደዋል። @inpeek/odata ና @inpeek/odata-angular እያንዳንዳቸው ተገፋፉ 99.99.99, 99.99.100, 99.99.101 ና 99.99.102 በጥቅምት 5 - ጥንዶቹን የሚሸፍኑ ስምንት ስሪቶች። በጥቅምት 9፣ @galicia-toolkit/tag-manager ና @galicia-toolkit/spa-build-config ደርሷል 999.0.5 ና 999.0.6እንደ ኩባንያ የግል የመሳሪያ ስብስብ የሚነበቡ፣ እውነተኛ ልቀት በማይደርስባቸው ስሪቶች ላይ የተጣበቁ፣ በገንቢ ላይ ሳይሆን በመፍትሔ ሰጪ ላይ ያነጣጠሩ የጥገኝነት ግራ መጋባት ናቸው።
ታይፖስኩቶች፣ የፖሲሲዎች እና የመመለሻ ዘመቻ
የቀረው የሳምንቱ ክፍል በሚታወቁት ጠርዞች የተሞላ ነበር። cloud-baileys ተልኳል 1.1.42ከነሐሴ ወር ጀምሮ የተከታተልነው የቤይሊስ የማስመሰል ዘመቻ የቅርብ ጊዜ ምት - የመጨረሻው አጭር መግለጫ ነበር 1.1.41. @tunstock/remact-dom ሊጠፋ የተቃረበ ነው react-dom, የመቆለፊያ ፋይልን ሲመለከት ብቻ የሚተርፍ የአንድ ፊደል የፊደል አጻጻፍ አይነት። @rutxploit-sec/waves-button-poc ሶስት ተከታታይ “PoC” ስሪቶችን ልከዋል፣ voxeval በሶስት የPyPI ነጥብ ልቀት ላይ ተረጋግጧል፣ እና slimfit/formbase የሳምንቱ ብቸኛ አቀናባሪ መግቢያ ነበር።
ይህ ሳምንታዊ ቅጽበታዊ ገጽ እይታ የቀጣይ ስራችን አካል ነው የተንኮል አዘል ኮድ ዝርዝርየDevSecOps ቡድኖች ቡድኖቻቸውን እንዲጠብቁ ለመርዳት አዳዲስ ስጋቶችን የምናረጋግጥበት pipelineጉዳት ከመድረሱ በፊት።
ሙሉው ዝርዝር፡ 35 የተረጋገጡ የተንኮል አዘል ፓኬጅ ስሪቶች
ይህ ሳምንት ምን ይነግረናል
የዚህ ሳምንት ቅርፅ ፍጥነት እና መሸፋፈን ነው። አስር ፓኬጆች በ 100.0.0 በሶስት ደቂቃ መስኮት ውስጥ አስር ደቂቃ አይደለምcisአየኖች፤ አንድ ስክሪፕት ነው። የክፍያው ጭነት ከአቀማመጡ ያነሰ አስፈላጊ ነው፡ በግል መዝገብዎ ውስጥ የሚገባ የሚመስል ስም፣ የመፍትሄ ውድድርን ለማሸነፍ የሚያስችል የስሪት ቁጥር የያዘ። ከእነዚህ ስሞች ውስጥ ብዙዎቹ በአሁኑ የAI እና የወኪል መሳሪያዎች ሞገድ ላይ የተመሰረቱ ናቸው - የኮድ-ግምገማ ወኪል፣ የAI-ዎርክሾፕ ስብስብ፣ የምስል-ወደ-APL መቀየሪያ - ምክንያቱም ቡድኖች ውስጣዊ ፓኬጆችን በፍጥነት የሚያወጡበት እና በፍጥነት ግራ መጋባት የሚኖርበት ቦታ ነው።
ከፈነዳው በታች፣ ዘገምተኛ ዘመቻዎች ዜማቸውን ጠብቀው ቆይተዋል። ቤይሊስ አሁንም በህትመት ላይ ነው፣ አሁን በ... cloud-baileys 1.1.42. የተዘረጉ የስም ክፍተቶች አሁንም በአንድ ጊዜ አራት ስሪቶች እየተጨመሩ ነው፣ ከ @inpeek ወደ @galicia-toolkit. አንድ react-dom ተመሳሳይ አሁንም አንድ ግድየለሽ ጭነት ብቻ ነው የሚያስፈልገው። ከእነዚህ ስሞች ውስጥ አንዳቸውም ሲደርሱ ፊርማ አልነበራቸውም - አዲስ ነበሩ፣ ይህም በትክክል የሚዘጋው የእውነተኛ ጊዜ ማወቂያ መስኮት ነው።
የXygeni Malware ቅድመ ማስጠንቀቂያ npm፣ PyPI፣ Maven፣ Composer፣ OpenVSX እና ሌሎች መዝገቦችን በእውነተኛ ጊዜ ይከታተላል፣ በህትመት ላይ ስጋቶችን ያሳያል - ግንባታ ላይ ከመድረሳቸው በፊት እና የAI ወኪል ራሱን ችሎ ከመጫኑ በፊት። አስር ፓኬጆች በሦስት ደቂቃዎች ውስጥ ሲያርፉ፣ ፊርማ የሚጠብቅ ማወቂያ በቀናት አይዘገይም፤ ሙሉ ጥቃቱ ዘግይቷል። Xygeni's Open Source Security መድረክ የDevSecOps ቡድኖች ቅድሚያ የሚሰጣቸውን ነገሮች ቅድሚያ በሚሰጣቸው ነገሮች ላይ ቅድሚያ መስጠት እንዳለባቸው ያክላል።
