Come ogni settimana, i nostri sistemi di rilevamento malware analizzano migliaia di pacchetti nuovi e aggiornati nei registri pubblici. Questa è stata una settimana tranquilla: Nelle ultime 120 ore abbiamo confermato la presenza di quattro versioni di pacchetti dannosi, tutte su npm.
Tre di loro sono @alphaspace/core, la campagna di inflazione delle versioni della scorsa settimana, ora a 99.0.3. Il quarto, cma-self-hosted-sandbox-cf, è stato confermato da Xygeni il 26 settembre. Il suo nome sembra uno strumento interno, ed è proprio per questo che vale la pena controllarlo nel tuo file di blocco.
Questa istantanea settimanale fa parte del nostro continuo Digest del codice dannoso, dove convalidiamo nuove minacce per aiutare i team DevSecOps a proteggere i loro pipelineprima che si verifichino danni.
| Ecosistema | CONFEZIONE | Data |
|---|---|---|
| npm | @alphaspace/core:99.0.1 | 26 settembre 2026 |
| npm | @alphaspace/core:99.0.2 | 26 settembre 2026 |
| npm | @alphaspace/core:99.0.3 | 26 settembre 2026 |
| npm | cma-self-hosted-sandbox-cf:1.0.0 | 26 settembre 2026 |
Di nuovo in scena per il terzo round: 4 versioni di pacchetti dannosi questa settimana
Una settimana breve, ma non priva di emozioni: quattro versioni confermate, tutte su npm. @alphaspace/core è tornato a 99.0.3, la terza versione gonfiata di un nome che abbiamo segnalato la scorsa settimana, e cma-self-hosted-sandbox-cf Si sono presentati vestiti come strumenti interni. Uno è un nome segnalato che ritorna, l'altro un nome nuovo che sembra innocuo. Entrambi sono il motivo per cui il rilevamento non può aspettare una firma.
Avviso di prevenzione contro il malware Xygeni monitora npm, PyPI, Maven, Composer, OpenVSX e altri registri in tempo reale, segnalando le minacce alla pubblicazione, prima che raggiungano una build. Xygeni's Open Source Security La piattaforma aggiunge la prioritizzazione di cui i team DevSecOps hanno bisogno per agire per primi.
