GitHub, 1.500'den fazla paketi ele geçirmeye açık bırakan açığın ardından npm yayın kurallarını sıkılaştırdı

Kısaca

GitHub, araştırmacıların kimlik bilgisi çalmadan başka bir kullanıcının paketine yeni sürüm pushlanabildiği kusurun ardından doğrulanmamış npm trusted publishing yapılandırmalarını 48 saat sonra geçersiz kılacak.

Ne oldu?

• Araştırmacılar, saldırganın farklı bir kullanıcının paketine yeni sürüm gönderebildiği bir açık tespit etti; 1.500'den fazla paket risk altındaydı.
• Doğrulanmamış trusted publishing yapılandırmaları oluşturulduktan 48 saat sonra geçersiz kılınacak; ilk başarılı yayından sonra yapılandırma doğrulanmış sayılıyor.