Чужой код в проде: как обычный npm install превращает вашу компанию в жертву атаки на ц...
Чужой код в проде: как обычный npm install превращает вашу компанию в жертву атаки на цепочку поставок В статье разбирают, как устроены Supply Chain Attacks и почему обновление обычной библиотеки может превратиться в установку вредоноса сразу в тысячах проектов: от кражи криптовалюты через event-stream до червя Shai-Hulud, который в 2025 году сам заражал и публиковал пакеты в npm. ⏺Самое неприятное - даже Trusted Publishing и проверка хешей не гарантируют защиту. Токен публикации можно украсть через взломанный CI, и тогда PyPI или npm выпустят заражённый релиз от имени настоящего автора библиотеки. 🤖Бесплатный ChatGPT
196 просмотров