TL;DR: fiarovana ny rojo famatsiana npm mihoatra ny scanner vulnerability
Ny fiarovana ny rojo famatsiana npm dia ny fanaovana izay hahazoana antoka fa ara-dalàna, tsy novaina ary azo antoka ny fonosana rehetra apetraky ny tetikasa JavaScript-nao, tsy hoe afaka amin'ny fahalemena fantatra fotsiny.
- Ny banga: Ny scanner fahalemena npm mahazatra dia mampifanaraka ireo fonosana amin'ny angon-drakitra CVE. Ny fonosana ratsy fanahy dia tsy manana CVE, ka mandalo izany.
- Ny porofo: Tamin'ny Martsa 2026, nisy naka an-keriny ny kaonty mpikirakira rindrambaiko, izay nahazo fisintomana maherin'ny 100 tapitrisa isan-kerinandro, ho lasa fantsona fanaterana malware nandritra ny adiny telo teo ho eo.
- Ny toerana fidirana: Ny ankamaroan'ny fanafihana npm dia miasa amin'ny alàlan'ny script fametrahana, izay miasa amin'ny fotoana anoratanao
npm install. - Ny fanamboarana: mamantatra ny fitondran-tena ratsy rehefa avoaka ny fonosana, fa tsy rehefa miseho ny CVE, ary manamafy ny fomba fiasan'ny fametrahana.
Tamin'ny 31 martsa 2026, mpamorona rindrambaiko an'arivony no nampiasa ny baiko mahazatra indrindra tao amin'ny JavaScript: npm installNy sasany tamin'izy ireo dia namoaka dikan-teny vaovaon'ny axios, ilay mpanjifa HTTP izay hita ao amin'ny ampahany betsaka amin'ireo rindranasa tranonkala manerantany. Nijanona ho maitso ireo scanner fiankinan-doha nataon'izy ireo. Tsy nahomby ny fanamboarana azy ireo. Ary nisy trojan fidirana lavitra nipetraka mangina tao amin'ny milinany.
Tsy nisy zavatra tao amin'io tantara io nahitana fahalemena. Izany indrindra no antony tsy nahitan'ny programa fiarovana npm maro izany.
Inona no nitranga tamin'ny axios
Tsotra sy naharitra ny fanafihana. Araka ny voalazan'ny aorian'ny fahafatesana manokana an'ny mpitantana ny axios, dikan-teny roa mampidi-doza, 1.14.1 sy 0.30.4, no navoaka tamin'ny alàlan'ny kaontin'ny mpitantana lehibe voajirika. Tsy nikasika andalana iray monja amin'ny kaody axios ilay mpanafika. Nanampy fiankinan-doha vaovao iray izy ireo, plain-crypto-js, izay nihazakazaka a postinstall script izay naka entana dingana faharoa.
Nilaza ny Microsoft Threat Intelligence fa ny fotodrafitrasa no nahatonga izany ho an'i Sapphire Sleet, mpilalao sarimihetsika ao amin'ny fanjakana Koreana Avaratra. Niaina nandritra ny telo ora teo ho eo ireo dikan-teny voapoizina talohan'ny nanesoran'ny npm azy ireo. Ho an'ny CI rehetra pipeline na solosaina finday napetraka nandritra io varavarankely io, dia efa ampy ny telo adiny.
Tsy tranga maningana izany. Tamin'ny Septambra 2025, niparitaka tamin'ny fonosana npm an-jatony ny kankana Shai-Hulud tamin'ny alàlan'ny fangalarana ny token'ny mpikojakoja sy ny famoahana ny tenany indray. Teknika hafa, lesona mitovy: ao amin'ny npm, ny fitokisana dia nolovaina ho azy, ary fantatry ny mpanafika izany.
Nahoana ny scanner vulnerability npm anao no tsy niteny na inona na inona
Ny ankamaroan'ny ekipa dia mihevitra ny fiarovana ny rojo famatsiana npm ho toy ny olana amin'ny fahalemena. Mampiasa scanner fahalemena npm izy ireo, mampitaha ny hazo fiankinan-doha amin'ny angon-drakitra misy lesoka fantatra, ary manamboatra izay tatiny. Zava-dehibe io asa io. Mamaly fanontaniana hafa fotsiny izy io.
| lafiny | Fonosana marefo | Fonosana ratsy |
|---|---|---|
| Inona izany | Kaody ara-dalàna misy bibikely | Kaody nosoratana hanisy ratsy anao |
| Manana CVE ve ianao? | Matetika, amin'ny farany | Saika tsy misy mihitsy |
| Rehefa mampidi-doza | Rehefa azo tratrarina sy hararaotina ny lesoka | Amin'ny fotoana fametrahana azy |
| Inona no mahazo azy | Fikarohana momba ny angon-drakitra momba ny fahalemena | Famakafakana ny fitondran-tenan'ny fonosana mihitsy |
| Fotoana famaliana mahazatra ilaina | Andro hatramin'ny herinandro | Minitra na ora |
Ny angon-drakitra momba ny fahalemena dia afaka mamaritra zavatra efa nohadihadian'olona sy nokajiana ihany. Ny fonosana mampidi-doza navoaka adiny iray lasa izay dia tsy misy fidirana na aiza na aiza. Noho izany dia miverina madio ny scanner, ary ny madio dia vakiana ho azo antoka.
Izany no fiovana fototra eo amin'ny fiarovana ny rojo famatsiana npm: ny fanontaniana dia tsy hoe "misy lesoka fantatra ve ity fonosana ity?" intsony fa "manao zavatra tsy tokony hataony ve ity fonosana ity?"
Fomba efatra hidiran'ny mpanafika ao amin'ny node_modules-nao
- Fakàna an-keriny ny kaonty. Mangalatra ny fahazoan-dàlana na ny token-n'ny mpikojakoja ary mamoaka dika voapoizina amin'ny fonosana efa atokisan'ny olona. Ity no boky torolalana momba ny axios, ary io no sarotra hita indrindra, satria marina tsara ny anaran'ny fonosana.
- Typosquatting. Avoahy
axoisorreqeustsary miandrasa sao misy diso tsipelina, na misy dika mitovy sy mametaka avy amin'ny fampianarana ratsy, na misy mpanampy amin'ny fanoratana kaody avy amin'ny AI hanoro anarana diso. - Fiankinan-doha misavoritaka. Mamoaha fonosana ho an'ny daholobe mitovy anarana amin'ny iray amin'ireo fonosana anatiny. Raha aleon'ny rejisitrao ny fonosana ho an'ny daholobe, dia apetraho ny kaodin'ny mpanafika.
- Mametraha script. Ny kofehy iraisana saika amin'ireo voalaza etsy ambony ireo. Ny npm dia mamela ny fonosana hiasa
preinstallsypostinstallscripts ho azy, ka miasa ny kaody maloto alohan'ny hampidiran'ny olona na inona na inona. CISTorolalana avy amin'i A momba ny fifanarahana axios manoro hevitra ny fametrahanaignore-scripts=trueho an'ny precisantony io.
Ny endriky ny fiarovana ny rojo famatsiana npm amin'ny fampiharana
Tsy ho afaka hampijanona ny fanafihana rehetra amin'ny fifehezana iray ianao. Azonao atao ny mahatonga ny tenanao ho lasibatra sarotra kokoa amin'ny alalan'ny fahazarana vitsivitsy:
- Commit ny rakitra hidin-tranonao ary apetraho amin'ny
npm ci. Tokony hametraka izay efa nojerena marina tokoa ny Builds, fa tsy izay natolotry ny rejisitra tamin'io maraina io mihitsy. - Atsaharo amin'ny alàlan'ny default ny script fametrahana. Set
ignore-scripts=trueary mamela script ho an'ireo fonosana tena mila azy ireo ihany. - Diniho ny fonosana anatiny. Ny anarana anatiny tsy voasokajy dia fanasana misokatra ho amin'ny fisafotofotoana momba ny fiankinan-doha.
- Jereo ny niandohany. fanohanana npm fanambarana momba ny fiaviana izay mampifandray fonosana navoaka amin'ny loharano sy ny fanamboarana azy. Ny famoahana tampoka tsy misy azy ireo, avy amin'ny tetikasa izay mazàna manana azy ireo, dia saina mena mendrika ny ho mandeha ho azy.
- Ampiarahy amin'ny fitadiavana malware ny fitiliana ny fahalemena. Tazomy ny scanner fahalemena npm-nao mba hahitana ireo lesoka fantatra, ary ampio ny fitadiavana izay mamakafaka izay tena ataon'ireo fonosana vaovao.
Ny fahazarana fahadimy no tsy dia tian'ny ankamaroan'ny ekipa hatao, ary io no nahariharin'ny fanafihan'ny axios.
Sambory ilay fonosana mampidi-doza alohan'ny hananany anarana
Xygeni's Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) Mijery ireo fonosana vaovao ao amin'ny rejisitra ho an'ny daholobe, anisan'izany ny npm, raha vao avoaka izy ireo, ary mamakafaka ny fihetsiky ny kaody fa tsy miandry sonia fantatra. Rehefa misy marika famantarana ny fonosana iray, dia ampahafantarina amin'ny alàlan'ny mailaka, sehatra fandefasana hafatra, na tranonkala ireo mpampiasa voakasik'izany.hooks, ary voatokana ny fonosana ka azonao ajanona eo amin'ny anao izany CI/CD guardrails.
Manodidina azy, Xygeni's open source security Misambotra ny ambin'izay ianteheran'ireo lalan'ny fanafihana efatra etsy ambony: typosquatting, fisafotofotoana momba ny fiankinan-doha, script fametrahana mampiahiahy ary singa npm anatiny tsy voasokajy. Mandrakotra ireo fahalemena fantatra avy amin'ny toro-hevitra NVD, OSV ary GitHub ihany koa izy io, izay laharam-pahamehana amin'ny reachability mba hanamboaranao izay tena azo ampiasaina, miaraka amin'ny automatique. pull requests ho an'ny fanamboarana.
Tafiditra ao anatin'ny drafitra maimaim-poana ho an'ny mpamorona ny MEW. Manomboka maimaim-poana ary scan ny tetikasan'ny npm voalohany ao anatin'ny minitra vitsy.
FAQ
Inona no atao hoe fiarovana amin'ny rojo famatsiana npm?
Ny fiarovana ny rojo famatsiana npm dia mandrakotra ny risika rehetra ateraky ny fonosana ianteheran'ny tetikasanao JavaScript: fahalemena fantatra, fonosana mampidi-doza, kaonty mpikojakoja voajirika, typosquatting ary fisafotofotoana momba ny fiankinan-doha. Mihoatra noho ny fijerena ny fahalemena izany mba hanamarinana fa ara-dalàna izay apetrakao.
Mahita malware ve ny scanner vulnerability npm?
Matetika tsy izany. Ny scanner fahalemena npm nentim-paharazana dia manamarina ireo fonosana amin'ny angon-drakitra misy fahalemena fantatra. Ny fonosana ratsy vaovao navoaka dia tsy misy fidirana angon-drakitra, ka tsy mandalo izany raha tsy hoe mamakafaka ny fihetsiky ny fonosana ihany koa ny fitaovana.
Is npm audit ampy?
npm audit fototra maimaim-poana mahasoa ho an'ny fahalemena fantatra. Tsy mahita malware vao navoaka, typosquats na fisafotofotoana momba ny fiankinan-doha izy io, ary tsy milaza aminao raha azo tratrarina amin'ny alàlan'ny kaody anao ny fiasa marefo.
Ahoana no ahafantarako raha misy fonosana manimba?
Anisan'ireo famantarana fampitandremana ny script fametrahana izay misintona na manatanteraka kaody lavitra, kaody tsy mazava, antso an-tambajotra tsy mifandraika amin'ny tanjon'ny fonosana, fiankinan-doha vaovao izay tsy resahin'ny tahiry loharano mihitsy, ary famoahana tsy misy ny niandohan'ny tetikasa izay mazàna avoaka.
