Пост ☠️ Новая атака на цепочку поставок — на этот раз затронут npm-пакет axios, самый популярный HTTP-клиент с ~300 млн загру…

☠️ Новая атака на цепочку поставок — на этот раз затронут npm-пакет axios, самый популярный HTTP-клиент с ~300 млн загрузок в неделю. Уязвимость проявляется через зависимости: в одном из кейсов пакет подтянулся через googleworkspace/cli, использовавшийся для работы с Gmail и Google Calendar. При этом установленная версия оказалась безопасной — 1.13.5. Однако зависимость не была зафиксирована (unpinned), и при установке в другое время могла подтянуться уже заражённая версия. Это ключевая проблема всей экосистемы: если версии не закреплены, сборка может в любой момент «подхватить» компрометированный релиз. Частично защититься можно локальными мерами — например: ограничивать минимальный «возраст» релизов, использовать контейнеры, проверять зависимости. Но системно проблему должны решать сами пакетные менеджеры (pip, npm и др.), меняя дефолтное поведение. Иначе одна заражённая версия, даже если её быстро находят и удаляют, успевает разойтись по тысячам проектов через незакреплённые зависимости. Подробный разбор: https://stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan