Вредоносный npm-пакет в Next.js-проекте запускался при каждом npm run dev

Разработчик обнаружил в проекте Next.js с Fiverr приватный npm-пакет с ~180 КБ обфусцированного JavaScript, который выполнялся при каждом запуске dev-сервера. Атака обходила --ignore-scripts: вредоносный require() был встроен в tailwind.config.js и срабатывал при генерации CSS.

• В проект был вложен .npmrc с токеном npm, дававшим доступ к приватному пакету
• Пакет tailwind-animationlab@2.0.6 имитировал tailwindcss-плагины и требовал приватную зависимость
• Три файла — .npmrc, tailwind.config.js и package.json — были изменены отдельно от остальных
• Защита --ignore-scripts не помогает: require() в конфиге Tailwind выполняется при сборке