タグ: Boom Security

npmパッケージ1,500件超、Trusted Publishingの検証不備で危険にさらされる

npmの信頼モデルに弱点があり、攻撃者が放棄されたGitHubリポジトリ名を取得することで、正規パッケージに更新版を公開できてしまう恐れがあることが、研究者の調査で判明しました。 npmのTrusted P