Admin
Администратор
GitHub внедрил новые меры безопасности для публикации пакетов в npm после обнаружения уязвимости, которая позволяла злоумышленникам публиковать новые версии чужих пакетов без необходимости кражи учетных данных. Теперь конфигурации доверенной публикации будут автоматически истекать через 48 часов после создания, если они не будут подтверждены первой успешной публикацией. Это изменение направлено на снижение рисков, связанных с изменением владельца репозитория или проекта. Кроме того, npm больше не принимает токены доверенной публикации из событий issue_comment в GitHub Actions. Уязвимость была обнаружена исследователями из Bloom Security, которые сообщили о ней GitHub 6 июня 2026 года. Они выявили возможность захвата тысяч пакетов и запуска каскадной атаки на цепочку поставок. Trusted publishing был введён в npm в июле 2025 года как метод аутентификации без использования учетных данных, позволяющий разработчикам публиковать пакеты через CI/CD платформы. Однако система оказалась уязвимой из-за того, что доверие было привязано к имени репозитория, а не к его уникальному идентификатору. Это позволяло злоумышленникам захватывать заброшенные репозитории и публиковать вредоносные версии пакетов. Bloom Security обнаружила более 1500 уязвимых пакетов, которые были скачаны более 10 миллионов раз. Разработчикам рекомендуется проверять свои конфигурации доверенной публикации и удалять их при переименовании или удалении репозиториев.
