AsyncAPI npm 包被盗用凭证恶意软件感染🌐 链接:

[!quote]+ 五个恶意版本的 AsyncAPI 包被发布到节点包管理器（NPM），通过一次供应链攻击，释放了一个具备信息窃取能力的远程访问木马。 该威胁行为者利用了配置错误的GitHub Actions工作流程，在@asyncapi命名空间中推送了被木马化的包，累计每周下载量超过225万次。 多家安全公司证实，7月14日，一名攻击者攻破了两个AsyncAPI GitHub仓库，并在项目文件中注入了恶意软件。 Step Security 的一份报告写道：“这两次攻击都是 CI/CD 管道的入侵，而非被盗的…