# piegādes ķēde
$ ls | wc -l → 22 raksti
2000 pakotņu RubyGems nāca no OpenAI aģentiem: dokumentācijas serveris izpildīja svešu kodu
RubyGems maijā uz četrām dienām slēdza jaunu kontu reģistrāciju pēc 2000 pakotņu viļņa. 12. septembrī pētnieki to piedēvēja OpenAI iekšējiem aģentiem, kas ar .yardopts failu izpildīja kodu uz RubyDoc.info būvēšanas serveriem.
arrayref ar 245 miljoniem lejupielāžu 86 minūtes palaida ļaunatūru cargo build laikā
Uzbrucējs pārņēma crates.io kontu un pievienoja arrayref vienu atkarību, kuras būvēšanas skripts lejupielādēja paroļu zagli. Trīs pakotnes ar 264 miljoniem lejupielāžu bija saindētas no 86 līdz 107 minūtēm.
Marta litellm uzbrukuma laupījums ir 153 GB: 433 909 faili no 118 829 CI izpildītājiem
CloudSEK ieguva arhīvu no marta litellm uzbrukuma: 433 909 faili, 2488 korporatīvie domēni un aptuveni 434 000 CI/CD konveijeru.
Open VSX izņem 77 viltotus paplašinājumus: 19 savāc Git un CI datus
Manifold Security atrada Open VSX katalogā 77 paplašinājumus ar nokopētiem reālu rīku nosaukumiem. 19 no tiem sūtīja prom Git repozitorija un CI vides datus uz domēnu mangorbit.com.
AI kodēšanas asistenti 85 % gadījumu izdomā repozitorija nosaukumu, ko uzbrucējs jau reģistrējis
Tel Avivas Universitātes un Tehnionas pētnieki reģistrēja repozitoriju nosaukumus, ko AI asistenti izdomā. Cursor un Copilot tos paņēma līdz 85 % gadījumu.
PyPI vairs nepieņem jaunus failus laidienos, kas vecāki par 14 dienām
PyPI no 8. jūlija noraida jaunus failus laidienos, kas vecāki par 14 dienām. Nozagta atslēga vairs neļauj klusi papildināt sen publicētu versiju.
Uzbrucēji pārņem PHP izstrādātāja kontu un ieliek Packagist pakotnēs 583 ļaunas GitHub Actions plūsmas
Socket atklāj kampaņu, kur ļaunas GitHub Actions plūsmas 10 Packagist pakotnēs pārvērš GitHub izpildītājus par cPanel serveru skeneri, kas zog atslēgas un žetonus.
python.org laidienu API divpadsmit gadus ļāva viltot admina pieprasījumu ar jebkuru atslēgu
python.org laidienu API divpadsmit gadus pieņēma admina pieprasījumu ar jebkuru atslēgu. PSF to izlaboja diennakts laikā un jūnijā atklāja detaļas.
Drošības uzņēmuma jscrambler npm pakotne izplata Rust infozagli, kas apzog mākoni, kriptomakus un AI rīkus
Drošības uzņēmuma jscrambler npm pakotnē parādījās Rust infozaglis IronWorm, kas apzog mākoņa atslēgas, kriptomakus un AI rīku konfigurācijas.
npm 12 pēc noklusējuma vairs nepalaiž atkarību instalācijas skriptus — sharp un Cypress prasa atļauju
npm 12 iznāca 8. jūlijā ar instalācijas skriptiem izslēgtiem pēc noklusējuma. Native moduļiem un testu rīkiem tagad vajag skaidru atļauju.