Czy bezpieczne pakiety npm są w niebezpieczeństwie?

Czy bezpieczne pakiety npm są w niebezpieczeństwie?

2026-04-29 21:54 Redakcja

W ostatnich dniach zespół badawczy Socket wykrył poważny atak na łańcuch dostaw, który dotyczy nieprawidłowo oznaczonego pakietu tanstack na npm. Chodzi o podrobioną wersję pakietu @tanstack/*, która została stworzona z zamiarem wykradania danych.

Od dziś, konserwator pakietu (sh20raj) zaczyna publikować złośliwe wersje, które w sposób dyskretny kradną pliki zmiennych środowiskowych, takie jak .env, .env.local i .env.production, z komputerów deweloperów w momencie instalacji. Wersje od 2.0.4 do 2.0.7 zostały potwierdzone jako złośliwe.

Wszystkie cztery wersje zostały opublikowane w szybkim tempie, w ciągu zaledwie 27 minut, co sugeruje, że był to dobrze zaplanowany atak, a nie stopniowa kompromitacja. Zidentyfikowane zostały także inne dotknięte pakiety, takie jak:

• npm/portalapp@1.0.0 (zależny)

Najnowsze wiadomosci ⚡📰

Nie przegap żadnego trendu, hacka ani dramy w świecie marketingu! 🧠
Mamy już ponad 155 000 artykułów i codziennie dorzucamy 50–100 nowych perełek z SEO, PR, social mediów, reklam, AI i brandingu. Do tego wywiady, nowe narzędzia pozwalające dowieźć wyniki i nutka prawa oraz bezpieczeństwa. Wszystko podane w starupowym sosie, który nigdy sie nie nudzi.
Zapisz się teraz, a Twoja skrzynka stanie się potężniejsza niż raporty z Analyticsa.