Уязвимость в npm Trusted Publishing открыла 1500+ пакетов для захвата

Bloom Security нашла, что npm Trusted Publishing позволял опубликовать новую версию чужого пакета, зарегистрировав освободившееся имя GitHub-репозитория. Под угрозой более 1500 пакетов с 10 млн загрузок; GitHub выпустил исправления, невалидные конфигурации теперь истекают через 48 часов.

• Атака не требовала кражи токена — только регистрации старого имени репозитория
• Затронуто более 1500 пакетов с суммарно 10 млн загрузок
• Вредоносная версия может нести postinstall-скрипт и валидную provenance-аттестацию
• GitHub: невалидные конфигурации Trusted Publishing истекают через 48 часов