Karibu Toleo la Juni la Xygeni Malicious Code DigestMwezi huu, timu yetu ya utafiti wa usalama ilithibitisha zaidi ya Vifurushi 645 vya nia mbaya kote npm, PyPI, na (kwa mara ya kwanza) soko la upanuzi la VSCode.
Juni ilibainishwa na mitindo mitatu inayofanana: kampeni endelevu za mafuriko ya matoleo zilizoundwa ili kushinda orodha zilizozuiwa, kasi kubwa ya mashambulizi yanayolenga zana za AI na mtiririko wa kazi wa uundaji wa mawakala, na mashambulizi yaliyoratibiwa ya mkanganyiko wa utegemezi dhidi ya nafasi za majina za ndani za monorepo.
Miongoni mwa kampeni maarufu zaidi zilizorekodiwa mwezi huu:
- unyeti ilifurika npm ikiwa na matoleo zaidi ya 70 katika safu ya 2.5.x, kampeni endelevu ya ukwepaji ikichapishwa tena mfululizo ili kuendelea mbele ya uondoaji.
- A kampeni ya uchapaji ya Solana ya mawimbi mawili (Juni 7–8) ilichapisha vifurushi 15 vinavyoiga
@solana-labsuundaji wa zana za mfumo ikolojia, ukilenga watengenezaji wa Web3 na DeFi moja kwa moja. - houzidawang806 ilichangia zaidi ya matoleo 25 katika siku moja (Juni 13), ikijumuishwa na vipimo-pipeline-d8k2 ilichapishwa tena katika matoleo 21 kati ya Juni 15–18.
- The Mkanganyiko wa CryptoDAO kampeni (Juni 17) ilichapisha vifurushi 11 katika toleo la 99.99.99, kila kimoja kikiwa na mzigo sawa wa malipo baada ya kusakinishwa CI/CD tokeni, vitambulisho vya wingu, na siri za pochi za crypto.
- Wiki ya Juni 20-26 ilileta ulengaji wa zana za akili bandia uliojikita zaidi wa mwezi huu: wasaidizi wa ollama (matoleo 20), wasaidizi wa mawakala wa openai (matoleo 23), monoclaude, wasaidizi wa ai-sdk, na @langgraphjs/kifaa cha zana, zote zimethibitishwa ndani ya wiki moja, zikilenga moja kwa moja ujumuishaji wa Ollama, mawakala wa OpenAI SDK, LangGraph, na Claude API.
- Mbili zimethibitishwa viendelezi vya VSCode hasidi ilionekana mwezi huu, ikiashiria kwamba washambuliaji wanapanuka zaidi ya sajili za vifurushi hadi kwenye mazingira ya wasanidi programu yenyewe.
Muundo unaofafanua wa Juni: mashambulizi yanaingia katika viendelezi vya IDE, zana za wakala wa AI, na mtiririko wa kazi wa wakala ambapo kifurushi hasidi kilichosakinishwa kiotomatiki hakina mkaguzi wa kibinadamu kati ya maambukizi na utekelezaji.
Sasisho hili la kila mwezi ni sehemu ya mpango unaoendelea wa utafiti wa programu hasidi na vitisho vya mnyororo wa usambazaji wa Xygeni. Kwa muktadha kamili katika kila kifurushi hasidi kilichothibitishwa mwezi huu, chunguza Digest kamili ya Msimbo Mbaya wa Juni na utafiti unaohusiana kutoka kwa Timu ya Usalama ya Xygeni.
Wiki ya 4: Zaidi ya Vifurushi 201 Vimegunduliwa
| mazingira | mfuko | tarehe |
|---|---|---|
| Juni 20, 2026 | ||
| npm | kipanga njia: 5.0.2 + matoleo 30 katika 5.x–6.x yanaanzia Juni 22 — kampeni kuu ya wiki | Juni 20, 2026 |
| npm | trimpprompt:1.0.5 + Matoleo 4 — mwendelezo kutoka wiki iliyopita, bado anafanya kazi | Juni 20, 2026 |
| npm | monoclaude:1.0.1 + Matoleo 2 — Uigaji wa zana za Claude API | Juni 20, 2026 |
| vscode | programu-ya-jozi-ya-kijenzi-ya-mzunguko-kwa-smalltalk:1.206.0 + Toleo 1 — kiendelezi hasidi cha VSCode kinacholenga uundaji wa wakala | Juni 20, 2026 |
| npm | simplisafe-gatsby:1.0.1 Uigaji wa nafasi ya majina ya jukwaa mahiri la nyumba | Juni 20, 2026 |
| Juni 21, 2026 | ||
| npm | atlasora-iliyoshirikiwa:1.0.0 + vifurushi 6 — mchanganyiko wa utegemezi wa monorepo ulioratibiwa: atlasora-api, -mteja, -sdk, -aina, -utils, -config | Juni 21, 2026 |
| npm | chapisho la upigaji picha:4.0.2 + Matoleo 6 — kampeni ya makosa ya tahajia kimakusudi, zana za ujumuishaji zinazolenga kampeni | Juni 21, 2026 |
| npm | Programu ya kufuatilia llm:1.0.1 Lengo la zana za uchunguzi wa LLM | Juni 21, 2026 |
| pypi | d0rk3r-telemetry:1.0.0 Kifurushi cha telemetri kilichofichwa katika PyPI | Juni 21, 2026 |
| Juni 22, 2026 | ||
| pypi | tm-ai:2.91.75 + Matoleo 7 — kampeni endelevu ya mafuriko ya toleo la PyPI | Juni 22, 2026 |
| pypi | ombi-cache-py:1.0.4 + Matoleo 6 — Toleo la PyPI lililojaa | Juni 22, 2026 |
| pypi | corvinos:0.17.0 + Matoleo 6 — Kampeni ya usajili wa PyPI kwa wingi | Juni 22, 2026 |
| Juni 23, 2026 | ||
| npm | msaidizi-wa-tokeni-wa wavuti:1.1.1 + Matoleo 2 — Ulengaji wa huduma ya tokeni ya Web3 | Juni 23, 2026 |
| npm | msalaba mmoja:1.0.1 + Toleo 1 — kundi la majina la mono-* pamoja na monoclaude na monotacos | Juni 23, 2026 |
| Juni 24, 2026 | ||
| npm | wasaidizi wa ollama:0.1.0 + Matoleo 19 — kampeni kubwa zaidi ya zana za AI ya mwezi, ikilenga muda wa uendeshaji wa AI ya ndani ya Ollama | Juni 24, 2026 |
| npm | wasaidizi wa mawakala wa openai:0.1.1 + Matoleo 22 — kampeni iliyoratibiwa inayolenga mfumo ikolojia wa SDK wa mawakala wa OpenAI | Juni 24, 2026 |
| Juni 25, 2026 | ||
| npm | wasaidizi wa ai-sdk:1.4.3 Usanifu wa zana za AI SDK unaolenga pamoja na @langgraphjs/toolkit:1.2.11 | Juni 25, 2026 |
| npm | kipachikaji cha kujisajili: 99.99.99-poc3 + usimamizi wa eneo-hs — Mkanganyiko wa utegemezi wa nafasi ya majina ya ndani ya HubSpot, kiambishi tamati cha poc kinathibitisha kampeni ya utafiti inayoendelea | Juni 25, 2026 |
| Juni 26, 2026 | ||
| npm | seti ya kamba rahisi: 1.0.1 + Matoleo 8 ikiwa ni pamoja na aina ya easy-string-kit232 — usajili wa wingi chini ya jina la jumla la matumizi | Juni 26, 2026 |
| npm | kifurushi-kisicho salama: 1.0.0 + Matoleo 5 — kifurushi kilichotajwa waziwazi kama ni hasidi, mzigo uliothibitishwa, kampeni inayowezekana ya majaribio au uchochezi | Juni 26, 2026 |
| npm | @vpms/mfumo-wa-usanifu:1.1.2 + Matoleo 2 — uigaji wa nafasi ya majina ya mfumo wa muundo | Juni 26, 2026 |
Wiki ya 3: Zaidi ya Vifurushi 200 Vimegunduliwa
| mazingira | mfuko | tarehe |
|---|---|---|
| Juni 13, 2026 | ||
| npm | houzidawang806:1.0.0 + Matoleo 25 katika 1.0.x–1.2.x ikiwa ni pamoja na ndugu houzidawang807 na houzidawang808 — kampeni kuu ya wiki | Juni 13, 2026 |
| npm | onyesho-la-kusalimiana-kirafiki:1.0.2 + Matoleo 4 — kampeni inayoendelea kuonekana tena kwa siku nyingi | Juni 13, 2026 |
| npm | tsc-ai:1.2.0 tsc-* kundi: tsc-ai, tsc-mesh, tsc-lotl — Uigaji wa nafasi ya jina la zana za CI | Juni 13, 2026 |
| pypi | neuralbridge-sdk:4.5.4 + matoleo 6 katika 4.5.x–5.1.x — kampeni endelevu ya PyPI ya siku nyingi | Juni 13, 2026 |
| Juni 15, 2026 | ||
| npm | bei-za-tokeni-cron:999.0.0 + vifurushi 6 — Kundi la mkanganyiko wa utegemezi wa miundombinu ya DeFi linalolenga uundaji wa cron wa ndani na zana za vault | Juni 15, 2026 |
| Juni 16, 2026 | ||
| npm | bodega-sdk:9.9.9 + Vifurushi 8 — Kundi la mikopo ya DeFi na mfumo ikolojia wa Cardano: ukopeshaji wa mtiririko, ukopeshaji wa mawimbi, janus-*, flowcardano, flowdefi | Juni 16, 2026 |
| npm | vipimo-vya-matukio-q3x7:1.0.0 + Matoleo 8 — kifurushi cha hex-suffix cha jumla kinachosajili majina yenye mada ya ufuatiliaji wa wingi | Juni 16, 2026 |
| npm | nic-datagov:1.0.0 + vifurushi 3 — uigaji wa nafasi ya majina ya jukwaa la data la serikali: uchanganuzi wa ogd, jukwaa la ogd, dms-backend | Juni 16, 2026 |
| Juni 17, 2026 | ||
| npm | mikataba ya cryptodao:99.99.99 + vifurushi 10 — Mkanganyiko wa utegemezi wa CryptoDAO: msingi, sdk, roboti, usanidi, matumizi, deploy, saini, sehemu ya nyuma, aina | Juni 17, 2026 |
| pypi | teambot-ai:1.48.0 Uundaji wa zana za mawakala wa akili bandia unaolengwa katika PyPI | Juni 17, 2026 |
| Juni 18, 2026 | ||
| npm | vipimo-pipeline-d8k2:1.0.0 + Matoleo 20 kote Juni 18 — kampeni ya ukwepaji wa siku moja iliyoendelea, ikichapishwa tena mfululizo ili kuzidi orodha zilizozuiwa | Juni 18, 2026 |
| npm | skani pekee: 0.4.5 + matoleo 6 — toleo la kampeni ya mafuriko | Juni 18, 2026 |
| npm | rangi-utils-dee0:1.0.0 + vifurushi 5 vya jumla vya hex-suffix: data-utils, string-tools, type-check, fmt-helpers, metrics-probe — usajili wa wingi ulioandikwa | Juni 18, 2026 |
| npm | @huduma-za-maabara-ya-azure/ml-ts:99.0.0 Uigaji wa nafasi ya majina ya Azure ML | Juni 18, 2026 |
| Juni 19, 2026 | ||
| npm | trimpprompt:1.0.2 + trimprompt-hub — zana za uhandisi wa haraka zinazolengwa | Juni 19, 2026 |
| npm | kikombe cha claude: 0.8.6 Uigaji wa zana za Claude API | Juni 19, 2026 |
| pypi | aiaddin-agent:0.1.0 Uundaji wa zana za mawakala wa akili bandia unaolengwa katika PyPI | Juni 19, 2026 |
| npm | matumizi ya anwani-ya-crypto-ya-web3:0.1.0 Ulengaji wa huduma za Web3 | Juni 19, 2026 |
Wiki ya 2: Zaidi ya Vifurushi 135 Vimegunduliwa
| mazingira | mfuko | tarehe |
|---|---|---|
| Juni 7, 2026 | ||
| npm | @solana-labs/web3.js:1.0.0 + aina 5 — Kampeni ya uchapaji wa mfumo ikolojia wa Solana, wimbi la kwanza | Juni 7, 2026 |
| npm | @jisan901/teamfocus:1.0.0 + matoleo 2 | Juni 7, 2026 |
| npm | @sflyinc-knapsack/shutterfly-react:999.0.0 Mkanganyiko wa utegemezi, toleo lililojaa | Juni 7, 2026 |
| Juni 8, 2026 | ||
| npm | @solana-labs/web3.js:1.98.102 + aina 9 — Kampeni ya uchapaji wa mfumo ikolojia wa Solana, wimbi la pili | Juni 8, 2026 |
| pypi | helixaagentai:0.1.3 Uundaji wa zana za mawakala wa akili bandia unaolengwa katika PyPI | Juni 8, 2026 |
| Juni 9, 2026 | ||
| npm | @nstrlabs/sdk:99.0.0 + vifurushi 7 — mkanganyiko wa utegemezi dhidi ya nafasi ya ndani ya jina la monorepo | Juni 9, 2026 |
| npm | @klapp-login-platform/native-sdk:99.0.0 + vifurushi 9 — uigaji wa mfumo wa uthibitishaji katika nafasi nyingi za majina za klapp | Juni 9, 2026 |
| npm | msaidizi wa blockchain-0:1.0.0 + vifurushi 7 — kundi la huduma za crypto/DeFi linalolenga watengenezaji wa Web3 | Juni 9, 2026 |
| npm | @data-ya-pci-ya-kadi/duka:99.0.0 Nafasi ya jina la data ya kadi ya malipo inayolengwa | Juni 9, 2026 |
| Juni 10, 2026 | ||
| npm | mfumo-wa-ubunifu wa nyota ya asubuhi:99.0.0 + Matoleo 2 — uigaji wa mfumo wa usanifu wa kifedha | Juni 10, 2026 |
| Juni 11, 2026 | ||
| npm | pocteszep:1.0.1 + Matoleo 5 yaliyochapishwa siku hiyo hiyo | Juni 11, 2026 |
| npm | @coze-common/eneo-la-gumzo:99.1.1 Uigaji wa nafasi ya jina la jukwaa la gumzo la AI | Juni 11, 2026 |
| pypi | telegramuliti:1.0.0 + Toleo 1 — uigaji wa jukwaa la ujumbe katika PyPI | Juni 11, 2026 |
| Juni 12, 2026 | ||
| npm | ecto-corsair-whisper-6f3b9:1.0.18 + aina 7 za ecto-* — kundi la majina lililofichwa | Juni 12, 2026 |
| npm | internallib_v984:1.0.3 + kundi la internallib_v557 — matoleo 13 ya wadanganyifu wa maktaba ya ndani | Juni 12, 2026 |
| npm | mtandao wa voyager:999.0.0 Mkanganyiko wa utegemezi, toleo lililojaa | Juni 12, 2026 |
| pypi | cdjeez:0.32.0 | Juni 12, 2026 |
Wiki ya 1: Zaidi ya Vifurushi 118 Vimegunduliwa
| mazingira | mfuko | tarehe |
|---|---|---|
| Huenda 30, 2026 | ||
| npm | @cloudplatform-single-spa/utawala:99.99.100 Mkanganyiko wa utegemezi, toleo lililojaa | Huenda 30, 2026 |
| vscode | xampp-meneja: 5.1.3 Kiendelezi cha VSCode — uigaji wa zana ya msanidi programu | Huenda 30, 2026 |
| Juni 1, 2026 | ||
| npm | @tse-digital/core:99.0.0 Mkanganyiko wa utegemezi — @telenor-se na @ownit pia wameguswa | Juni 1, 2026 |
| npm | kitovu cha duka cha cms: 1.3.4 + matoleo 2, kundi la nafasi ya majina ya CMS | Juni 1, 2026 |
| npm | @antoncallahan/aws-user-helper:6767.67.69 + Matoleo 6, nambari za matoleo zilizoongezwa zinazolenga vitambulisho vya AWS | Juni 1, 2026 |
| npm | hati za mgonjwa: 75.0.0 Lengo la nafasi ya jina la huduma ya afya | Juni 1, 2026 |
| npm | @emcd-vue/auth:6.4.9 Uigaji wa nafasi ya majina ya kubadilishana fedha za kidijitali | Juni 1, 2026 |
| pypi | simtooreal-cli:0.3.0 | Juni 1, 2026 |
| Juni 2, 2026 | ||
| npm | unyeti: 2.5.8 + Matoleo 70 katika masafa ya 2.5.x, Juni 2–5 — kampeni kubwa ya kipindi hicho | Juni 2, 2026 |
| npm | @langgraphjs/kifaa cha zana:1.2.10 Ulengaji wa zana za LangGraph | Juni 2, 2026 |
| Juni 4, 2026 | ||
| npm | @sentry-browser-sdk/profiling-node:1.0.1 + Matoleo 2, uigaji wa nafasi ya majina ya Sentry | Juni 4, 2026 |
| npm | internallib_v346:1.0.3 + Matoleo 2, mdanganyifu wa maktaba ya ndani | Juni 4, 2026 |
| npm | wasaidizi wa ai-sdk:0.2.1 + Matoleo 7, yanayolenga zana za AI SDK | Juni 4, 2026 |
Acha Msimbo Hasidi Kabla Haujakufikia Pipeline
Vitisho vya ugavi wa programu vimepita nadharia. Mashambulizi ya mkanganyiko wa utegemezi, wizi wa sifa, programu hasidi inayolengwa na AI, na zana za wasanidi programu zenye sumu zinashambulia timu halisi katika hali halisi. SDLCkila wiki.
Xygeni's ugunduzi wa programu hasidi na jukwaa la usalama wa mnyororo wa usambazaji Hupa mashirika mwonekano wa kukamata utegemezi hasidi kabla ya kutekeleza kwenye mashine ya msanidi programu, kuingia kwenye mfumo wa ujenzi, au kufikia uzalishaji. Ufikiaji unahusisha npm, PyPI, VSCode, na zaidi, ufuatiliaji wa mifumo ya uchapishaji inayotiliwa shaka, matumizi mabaya ya nafasi ya majina, uchapaji, na mbinu asilia za mashambulizi ya AI zinapojitokeza.
Kila ugunduzi hupewa kipaumbele kiotomatiki kulingana na unyonyaji, ufikivu, na athari za biashara, kwa hivyo timu yako inazingatia kile kinachohitaji kurekebishwa, sio kelele.
Iwe ni kifurushi cha programu huria chenye nia mbaya, kifaa cha msanidi programu kilichoathiriwa, au hatari ya msimbo inayotokana na AI, Xygeni huweka timu za usalama na uhandisi hatua moja mbele ya mazingira ya tishio la mnyororo wa usambazaji.
Chunguza kila kifurushi na kampeni hasidi iliyothibitishwa na Timu ya Usalama ya Xygeni katika Muhtasari wa Msimbo Hasidi.
Kaa salama. Kaa haraka. Endelea kudhibiti Xygeni.
