GitHub ввёл 48-часовой срок для неподтверждённых npm-конфигураций

GitHub закрыл лазейку в цепочке поставок npm: непроверенные настройки доверенной публикации теперь истекают через 48 часов. Уязвимость, найденная Bloom Security 6 июня 2026 года, позволяла захватывать заброшенные имена репозиториев и публиковать вредоносные обновления. Затронуто более 1500 пакетов с 10 млн загрузок.

• Непроверенные настройки доверенной публикации npm истекают через 48 часов
• Уязвимость позволяла захватить заброшенный слаг репозитория и публиковать пакеты
• Найдено более 1500 уязвимых пакетов с 10 млн загрузок
• npm отклоняет запросы из автоматических процессов комментирования кода