Błąd w npm Trusted Publishing pozwalał przejąć ponad 1500 pakietów

Badacze Bloom Security pokazali, że funkcja Trusted Publishing w npm pozwalała wypuścić nową wersję cudzego pakietu bez kradzieży danych logowania. Narażonych było ponad 1500 pakietów z łącznie ponad 10 mln pobrań, a GitHub, właściciel npm, wdrożył poprawki.

npm zapamiętywał powiązane repozytorium po nazwie w formie właściciel/repozytorium, a nie po stałym numerycznym identyfikatorze. Po zmianie nazwy, przeniesieniu lub usunięciu repozytorium albo konta właściciela stara nazwa stawała się wolna. Wystarczyło ją zarejestrować i dodać plik workflow o tej samej nazwie, by dostać uprawnienia do publikacji. Złośliwa wersja może zawierać skrypt postinstall, który npm uruchamia automatycznie na każdym komputerze instalującym aktualizację.

Kogo dotyczy

Opiekunów pakietów npm korzystających z Trusted Publishing, dostępnego od lipca 2025 roku, których powiązane repozytorium lub konto na GitHubie zmieniło nazwę, zostało przeniesione albo usunięte, a także firm instalujących takie pakiety. Część pakietów chroniła reguła GitHuba, który wycofuje nazwy repozytoriów sklonowanych ponad 100 razy w tygodniu przed zmianą nazwy lub usunięciem konta właściciela.