Ҳар ҳафта, системаҳои муайянкунии нармафзори зараровари мо ҳазорҳо бастаҳои нав ва навшударо дар феҳристҳои давлатӣ ба монанди npm ва PyPI скан мекунанд. Ин ҳафта низ истисно набуд.
Мо аз 12 то 19 июни соли 2026 зиёда аз 200 бастаи зарароварро тасдиқ кардем, ки асосан дар npm буданд ва ҳолатҳои иловагӣ дар PyPI буданд. Якчандтои онҳо дар кластерҳои ҳамоҳангшуда пайдо шуданд, нашрияҳои такрории зараровар бо ҳамон номҳо ё дар байни оилаҳои бастаҳои ба ҳам наздик нашршуда.
Ҳодисаи барҷастаи ин ҳафта ин буд sensivity, ки npm-ро бо зиёда аз 70 версияи версияшуда дар диапазони 2.5.x пур кард ва дар тӯли чанд рӯз тасдиқ шуд. Дигар кластерҳои назаррас мавҷи @solana-labs typoskuts, ки ба экосистемаи Солана нигаронида шудаанд (web3.js, web3-js, etherjs, spl-toke, ancor, web3js — дар ду маъракаи алоҳидаи нашрӣ дар рӯзҳои 7 ва 8 июн), @nstrlabs оила (sdk, ixel, utils, shared-components, api-client, auth — ҳамлаи нофаҳмии вобастагӣ бар зидди фазои номии бастаҳои дохилӣ), @klapp-login-platform Гурӯҳ (native-sdk, oidc, routes — тақлид кардани платформаи аутентификатсия), internallib_v557 ва internallib_v984 (версияҳои сершумори қаллобони китобхонаи дохилии печида), pocteszep (6 версия дар 11 июн нашр шудааст), ва як кластери барномаҳои крипто ва Web3, аз ҷумла blockchain-helper-0, ethereum-kit-1, ethereum-kit-9, crypto-utils-7, wallet-sdk-9, defi-tools-39, swap-sdk-87ва farming-tools-12. Дар morningstar-design-system Ин баста 10 июн дар се версия пайдо шуд, ки тақлид ба як системаи маъруфи тарроҳии молиявӣ буданд.
Аз 13 июн сар карда, суръат суръат гирифт. houzidawang806 Танҳо кластер зиёда аз 25 версияро дар як рӯз нашр кард, ки ба онҳо бародарон ва хоҳарон ҳамроҳ шуданд houzidawang807 ва houzidawang808. Дар metrics-pipeline-d8k2 Баста аз 15 то 18 июн дар 21 версия пайваста аз нав нашр шуд — як маъракаи пайвастаи канорагирӣ, ки барои пешсаф будан аз рӯйхатҳои блокӣ тарҳрезӣ шуда буд. friendly-greeter-demo Баста дар тӯли ҳафта дар версияҳо дубора пайдо мешуд. Кӯшишҳои нави нофаҳмиҳо бо вобастагӣ дар зери он пайдо шуданд. xy-shared, axl-ui, loadninja-shared, carousel-controller-mixin, token-prices-cron, hemi-supply-cron, portal-backend, vault-strategies, ва якчанд дигарон — ҳама рақамҳои версияи муболиғашударо дар диапазони 999.x доранд. Кластерҳои нави номҳои умумии утилитҳо бо пасвандҳои тасодуфии шонздаҳӣ (color-utils-dee0, data-utils-d703, string-tools-be6c, type-check-816d, fmt-helpers-794b, metrics-probe-*) дар 18-19 июн пайдо шуд, ки бо бақайдгирии оммавии скриптӣ мувофиқ аст. Ҳафта бо ... баста шуд trimprompt, trimprompt-hub, claude-cupва web3-crypto-address-utils тасдиқ карда шуд дар 19 июн. Дар PyPI, neuralbridge-sdk (панҷ версия дар саросари 4.5.x–5.1.x), deepstrain, teambot-ai, hello-test-s1ва aiaddin-agent дар тӯли ҳафта тасдиқ карда шуданд.
Инҳо аномалияҳои ҷудогона набуданд. Он чизе, ки дар ин ҳафта диққати ҳамаро ҷалб кард, тамаркузи ҳамлаҳои нофаҳмиҳои вобастагӣ ба фазоҳои дохилии бастаҳо, маъракаҳои нашри чандрӯзаи устувор, ки барои аз байн бурдани маълумот зиёдтар тарҳрезӣ шудаанд, ҳадафгирии доимии абзорҳои Web3 ва DeFi (ин намуна дар соли 2026 ба таври назаррас суръат гирифтааст) ва истифодаи афзояндаи номҳои бастаҳои умумӣ ва монанд ба садо буд, ки барои пешгирӣ аз ошкоркунӣ тавассути омехта шудан ба дарахтони вобастагии муқаррарӣ тарҳрезӣ шудаанд.
Ин акси ҳафтаина қисми Дайҷести рамзҳои зараровари мост, ки дар он мо таҳдидҳои навро тасдиқ мекунем ва барои кӯмак ба гурӯҳҳои DevSecOps дар ҳифзи онҳо маълумоти амалиро пешниҳод мекунем. pipelineс пеш аз он ки зарар расад. Биёед он чизеро, ки ин ҳафта ёфтем ва чаро он муҳим аст, таҳлил кунем.
Нагузоред, ки маъракаҳои ҳамоҳангшуда ба шумо бирасанд Pipelines
Дайджести ин ҳафта на дар бораи як таҳдид буд; балки дар бораи миқёс буд. Зиёда аз 200 бастаи тасдиқшуда, пур шудани версияҳои пайваста дар тӯли чанд рӯз ва маъракаҳои бақайдгирии оммавии скриптӣ нисбат ба он ки баррасиҳои дастӣ метавонанд пайгирӣ кунанд, тезтар кор мекунанд. Ҳамлагарон интизори расидани шумо нестанд.
Муайянкунии барвақтии нармафзори зараровари Xygeni npm, PyPI ва дигар феҳристҳоро пайваста назорат мекунад ва таҳдидҳоро дар лаҳзаи нашр, на пас аз он ки онҳо дар як сохтор ҷойгир шаванд, қайд мекунад. Вақте ки як маърака 21 версияи ҳамон як бастаи зарароварро дар тӯли чор рӯз нашр мекунад, сканкунии ҳафтаина дар вақти муайян ҳеҷ чизро муайян намекунад.
Xygeni's Open Source Security ин ҳалли масъала ба дастаҳои DevSecOps-и шумо имкони намоёнӣ ва афзалиятдиҳии вақти воқеиро медиҳад, ки онҳо бояд аз ин гуна фишори ҳамоҳангшуда пеш гузаранд, аз ин рӯ pipelineбе суст кардани дастаҳои худ тоза бимонед.
