Trojan w popularnym repozytorium JavaScript. Milion pobrań tygodniowo

Zaatakowano jedno z najważniejszych źródeł oprogramowania open source repozytorium NPM. Tym razem ofiarą padły powszechnie używane pakiety powiązane z biblioteką Gluestack @react-native-aria, które łącznie notują ponad milion pobrań tygodniowo. "Nie ma możliwości naprawienia zainfekowanych..."

[MrMgr]

I bardzo dobrze odechce się tego gówna, w którym te poczwary i cuda na kiju z wiązane z typami danych dla niektórych stanowią ficzer TFU!

[kwanty]

Tak to jest jak devom nie chce się napisać kawałka kodu samemu tylko walą całą litanię "pip install" albo "npm ..." bez zastanowienia się co tam chat zasugerował...

Ostatecznie w projekcie mam redundancję wielu modułów z każdego powyciągane po 2 funkcje, część modułów w wersji "alfa", część jest już porzucona i przez nikogo nie aktualizowana (ciekawe czy w ogóle jeszcze deweloper żyje bo ostatnia aktualizacja 2015...).

[voot]

@kwanty: Dokładnie, tak samo jak devopsom nie chce się zaprojektować CPU i OSa samemu, tylko stawiają wszystko na Intelach czy AMDkach i Linuxach, a później wychodzą 0-day xD

Spokojnie, każdy junior przechodzi przez ten etap, że on wszystko będzie robił sam, nie będzie korzystał z niczego gotowego, ale nabierzesz trochę doświadczenia, to zmądrzejesz :)

[nie_mow_o_mnie_swojemu_mezowi]

@voot: Nie ma się z czego śmiać. Jeśli na npm widzisz np.: https://www.npmjs.com/package/sum i realnie codziennie są "programiści" to pobierający, to trudno nie odnieść wrażenia, że w przypadku Node.js, ale i Pythona czasami dochodzi do odklejenia, gdzie wręcz natywne rzeczy języka są zastępowane paczkami. A przy takiej, a nie innej metodzie kontroli paczek (czyt. żadnej) atak na łańcuch dostaw staje się super atrakcyjny. Zamiast jednej zainfekowanej witryny ma się na