Bon, l'heure est grave, npm est complètement pété. Globalement, des hackers ont pris le contrôle de pas mal de paquets npm et en profitent pour voler pleins de trucs.
un user/dev fait un npm update/install puis par le jeu des dépendances on se retrouve a download et exec un paquet compromis.
Y'a pas longtemps un pirate a installé des paquets pour voler des cryptomonnaies. Bon il a pas été très intelligent et il s'est vautré dans l'adresse de son wallet (…)
Les hackers viennent de frapper l'écosystème npm. Ils ont compromis le package « is », un utilitaire de vérification de types JavaScript que des millions de développeurs installent chaque semaine. Cette bibliothèque figure parmi les plus téléchargées du registre npm.
Les pirates ont infecté sept packages en parallèle. Ils ont touché eslint-config-prettier, eslint-plugin-prettier, synckit, @pkgr/core, napi-postinstall et got-fetch. Une faille dans le système d'authentification email de npm leur a permis de tromper les responsables de ces projets et de (…)
Salut tout le monde !
Voici un petit script de mise à jour très simple. Y'a probablement des manières plus propres de faire, et si vous avez vachement mieux je suis preneur, mais en l'état ce petit script me convient bien : il met à jour les différents systèmes de paquets de mon système (manque quand même les majs des paquets Emacs, à voir pour plus tard).
C'est tout bête.
#!/bin/sh -
# nettoyage
echo "####### NETTOYAGE #######" &&
sudo
Bonjour nal,
C'est vendredi lundi et j'avoue avoir poussé ma gueulante sur mes collègues qui ne gèrent pas leur dépendances.
Je veux dire par là : ils laissent leur gestionnaire de package tout faire pour eux en comptant sur semver qui est dans la pratique un échec (je ne retrouve plus le post que j'avais vu sur hackernews et qui expliquait au final pourquoi chrome/firefox s'en était passés et beaucoup d'autres par la suite. lien de consolation 1 et 2 (…)
