هشدار امنیتی: 18 بسته مخرب npm کاربران Alibaba را هدف قرار داد
پژوهشگران امنیتی 18 بسته مخرب npm را کشف کردند که کاربران ابزارهای توسعه Alibaba را با یک RAT چندسکویی هدف قرار میدهند. این حمله زنجیره تأمین نرمافزاری، محیطهای چینیزبان را نشا…
آخرین اخبار npm
هشدار امنیتی: بازگشت Shai-Hulud با حمله به [email protected]
کتابخانه [email protected] به خطر افتاده و از الگوی حمله drop-and-execute برای سرقت اعتبارنامههای GitHub استفاده میکند. این حمله مشابه حملات گذشته Shai-Hulud است که به صورت کرمو…
Node.js 22.22.3 LTS منتشر شد: چه تغییراتی دارد؟
نسخه ۲۲.۲۲.۳ Node.js با نام «جود» به عنوان یک نسخه LTS منتشر شد. این نسخه شامل اصلاحات امنیتی مهمی در ماژول crypto، بهروزرسانی گواهیهای ریشه به NSS 3.121 و ارتقای وابستگیهای کلی…
Node.js 26.3.0 منتشر شد: چه تغییراتی در راه است؟
نسخه ۲۶.۳.۰ نود.جیاس با تغییرات مهمی منتشر شد. پروژه نود.جیاس هشدار داد که به دلیل کاهش پشتیبانی اپل از معماری اینتل، ممکن است نتواند باینریهای جهانی برای مک را برای کل عمر این …
اخبار امنیتی هفته: ابزار متنباز OpenAI و حملات سایبری جدید
شرکت OnTrac حمله سایبری را بین ۲۰ تا ۲۲ مارس تجربه کرد که منجر به دسترسی مهاجمان به شبکه و فایلهای آن شد. Adobe وصحیحکنندههایی برای آسیبپذیریهای بحرانی در محصولات خود منتشر کر…
هشدار: کرم Shai-Hulud در بستههای npm @tanstack کشف شد!
بستههای npm در فضایهای نامی @tanstack، @mistralai، @uipath و سایرین توسط یک کرم سایبری آلوده شدهاند. این حمله از الگوی drop-and-execute برای اجرا کردن یک infostealer استفاده می…
کره شمالی چگونه با آلوده کردن بسته npm کوچک، خود را برای حمله به axios آماده کرد؟
تیم امنیتی Amazon کشف کرد که گروه هکری مرتبط با کره شمالی، پیش از حمله به کتابخانه محبوب axios، بستههای نرمافزاری کوچکتری را هدف قرار داده بود. این گروه در مارس ۲۰۲۵ کد مخربی را…
ورسل Better Auth را خریداری کرد: آینده احراز هویت اوپن سورس چه خواهد بود؟
ورسل شرکت Better Auth، سازنده کتابخانه احراز هویت اوپن سورس TypeScript، را خریداری کرد. این کتابخانه با بیش از ۴.۷ میلیون دانلود هفتگی در npm و ۸۵۰ مشارکتکننده، یکی از پرمخاطبتری…
MapKit JS 6: انقلاب در توسعه نقشههای وب توسط اپل
اپل نسخه ۶ MapKit JS را با تمرکز بر سازگاری با الگویهای مدرن توسعه وب منتشر کرد. این چارچوب امکان ادغام آسان نقشههای Apple Maps در وبسایتها و اپلیکیشنها را فراهم میکند. از وی…
چگونه یک بسته آلوده NPM عاملهای هوش مصنوعی را به سارقان راز تبدیل کرد؟
در آگوست ۲۰۲۵، نسخههای آلوده بسته Nx در npm منتشر شد که حاوی هوک مخرب پس از نصب بود. این هوک به جای استفاده از اسکنر خود، از عاملهای کدنویسی هوش مصنوعی نصب شده برای جستجوی رازها …
نسخه جدید نود.جیاس ۲۶.۴.۰ منتشر شد!
نسخه ۲۶.۴.۰ نود.جیاس در ۲۴ ژوئن ۲۰۲۶ منتشر شد و شامل بهبودهای امنیتی، عملکردی و ویژگیهای جدید است. این نسخه از بافرهای خواندن فایل در readFile()، نقشههای بسته، و پارامترهای جدید…
کرم مخفی در NPM: آیا توسعهدهندگان در معرض خطر هستند؟
متخصصان کروداسترایک کرم جدیدی را در اکوسیستم NPM شناسایی کردند که قادر به حذف فایلها در سیستمهای آلوده توسعه است. این کرم با تقلید رفتار یک عامل هوش مصنوعی معمولی، خود را مخفی نگ…
چگونه از پروژههای سوپابیس در برابر حملات زنجیره تأمین npm محافظت کنیم؟
حملههای زنجیره تأمین npm در حال افزایش است و سوپابیس نیز هدف قرار گرفته است. بستهای جعلی با نام «supabase-javascript» برای فریب توسعهدهندگان منتشر شد. سوپابیس اقداماتی مانند انت…
حمله میاسما: کد مخرب در بستههای npm ردهت کشف شد!
در اول ژوئن ۲۰۲۶، حمله زنجیره تأمین میاسما با کشف کد مخرب در ۳۲ نسخه از بستههای npm فضای نام @redhat-cloud-services شناسایی شد. این بستهها مولفههای فرانتاند و مشتریان API کنسول…
🚀 انتشار Node.js 24.16.0 (LTS): چه چیزهایی جدید است؟
نسخه ۲۴.۱۶.۰ Node.js با نام کد 'Krypton' به عنوان نسخه LTS منتشر شد. این نسخه ویژگیهای جدیدی مانند تابع randomUUIDv7() در ماژول crypto، probeهای runtime در debugger و پشتیبانی از …
⚠️ حمله زنجیره تأمین جدید در npm: کرم خودتکثیری که در binding.gyp مخفی میشود
حمله زنجیره تأمین جدیدی در رجیستری npm شناسایی شده که از فایل binding.gyp برای اجرا کد مخرب در حین نصب استفاده میکند. این حمله که توسط Snyk رصد میشود، ۵۷ بسته آلوده را در بر میگ…
هشدار امنیتی: تصرف دامنه npm @mastra و تزریق کد مخرب
در ۱۷ ژوئن ۲۰۲۶، یک مهاجم با استفاده از حساب کاربری غیرفعال یک مشارکتکننده سابق، کل دامنه @mastra در npm را دوباره منتشر کرد و وابستگی مخرب easy-day-js را به ۱۴۳ بسته تزریق نمود. …
⚠️ هشدار: بستههای جعلی Paysafe و Skrill در NPM و PyPI اطلاعات شما را میدزدند!
مهاجمین ۱۷ بسته مخرب را در NPM و PyPI منتشر کردند که بهعنوان SDKهای پرداخت قانونی Paysafe، Skrill و Neteller معرفی میشوند. این بستهها به جای ارتباط با سرویسهای اصلی، دادههای ح…
⚠️ بازگشت میاسما: ۲۳ بسته مخرب در npm پلتفرم Leo را هدف گرفت!
کمپین بدافزاری میاسما با به خطر انداختن حساب نگهدارنده czirker، ۲۳ نسخه مخرب از بستههای npm مرتبط با پلتفرم Leo و RStreams را منتشر کرد. این حمله از فایل binding.gyp برای اجرا در …
شاخص بدافزارهای منبعباز ۲۰۲۶: مهاجمها از اعتماد توسعهدهندگان سوءاستفاده میکنند
در سهماهه دوم ۲۰۲۶، سوناتایپ بیش از ۱.۸ میلیون بسته مخرب را در اکوسیستمهای منبعباز بررسی کرد که ۹۶.۶ درصد آنها در npm متمرکز بودند. مهاجمها با کمپینهایی مانند Shai-Hulud Mias…
کمپین میاسما: چگونه اقتصاد زیرزمینی اعتبارنامهها زنجیره تأمین را تهدید میکند؟
کمپین میاسما، یک کرم خودتکثیرشونده در npm، نشاندهنده مدل جدید تهدیدات زنجیره تأمین است که از اعتبارنامههای سرقتشده توسعهدهندگان برای آلودهسازی بستهها استفاده میکند. این کرم …
⚠️ نسخه مخرب jscrambler 8.14.0 npm بدافزار سارق اطلاعات را اجرا میکند!
نسخه ۸.۱۴.۰ بسته npm جِسکرَمبلر در ۱۱ ژوئیه ۲۰۲۶ منتشر و بلافاصله توسط Socket شناسایی شد. این نسخه حاوی یک هوک پیشازنصب است که باینریهای مخرب برای ویندوز، مکاواس و لینوکس را اجرا …
هشدار NCSC: حملات زنجیره تأمین نرمافزاری در حال افزایش است!
مرکز امنیت سایبری ملی بریتانیا (NCSC) نسبت به حملات رو به رشد به زنجیره تأمین نرمافزاری هشدار داده است. مهاجمان بستههای منبع باز را در پلتفرمهایی مانند npm و PyPI به خطر انداخته…
⚠️ حمله جدید به NPM: بستههای AsyncAPI و Jscrambler آلوده شدند!
اکوسیستم NPM با دو حمله زنجیره تأمین جدید مواجه شد که بستههای AsyncAPI و Jscrambler را آلوده کرد. مهاجمها از اعتبارنامههای سرقتشده برای تزریق بدافزار به بستههای npm استفاده کر…