כל הכתבות של CyberNow בנושא npm — 3 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
גרסה זדונית של חבילת npm פופולרית פורסמה מה-CI של הפרויקט עצמו, עם חתימת מקור תקינה. היא אוספת פרטי אימות מענן, מ-Kubernetes ומכלי פיתוח מבוססי AI, ומשאירה אחריה שירות שמוחק את ספריית הבית אם מבטלים את ה-token שנגנב.
גרסה 4.7.9 של Handlebars יצאה במרץ כדי לתקן חולשה בציון 9.8, ועכשיו היא עצמה בתוך טווח הגרסאות המושפעות של CVE-2026-106446, גם הוא בציון 9.8. הבדיקה שנוספה אז מכסה שלושה סוגי צמתים, והעקיפה עוברת דרך השדות שנשארו בחוץ.
שתי גרסאות בטא של חבילת @joyfill עלו ל-npm עם נוזקת שליטה מרחוק שמופעלת ברגע ה-import, לא בהתקנה. את כתובת השרת הבא היא שולפת מעסקאות שמורות על שלושה בלוקצ'יינים, כדי לשרוד הורדות של תשתית.