針對NPM供應鏈的攻擊事件再次發生，@ctrl/tinycolor發布惡意版本
4
3
PANews 9月16日消息，Scam Sniffer監測到又一起針對NPM供應鏈的攻擊事件，@ctrl/tinycolor（每週下載量達220萬次）發布了惡意版本，該版本會在npm執行PoStinstall（安裝後）腳本時運行信息竊取程序，以掃描並竊取敏感數據。 此惡意載荷濫用了合法的敏感信息掃描工具TruffleHog。 請檢查是否下載了受影響的版本，暫停安裝/更新操作，並將版本固定為已知安全的版本。
來源:
