GitHub запустила файрвол для npm-пакетов с блокировкой новых версий

GitHub представила пакетный файрвол, проверяющий npm-пакеты по политике компании до установки: он блокирует известное вредоносное ПО, критические уязвимости и совсем новые версии. Вместе с ним добавлены AI Scan для проверки pull request, расширение GitHub Security для Copilot и анализ достижимости уязвимых функций в Dependabot.

• Файрвол включается перенаправлением npm на него и проверяет пакеты до установки
• Правило для новых версий опирается на дату релиза из метаданных пакета
• AI Scan ищет уязвимости в PHP, Shell и COBOL, включая уже слитый код
• Анализ достижимости ранжирует алерты Dependabot по вызову уязвимой функции