Faker.js 删库。目前的 repo README 只有一句：

> What really happened with Aaron Swartz?

有用户称之前 npm 上发布了已经清空的 faker@6.6.6 包，但现在已经被回滚至上一个正常版本 5.5.3。

https://github.com/marak/Faker.js/

seealso: https://www.npmjs.com/package/faker
seealso: https://www.youtube.com/watch?v=d15DP5zqnYE
seealso: https://www.youtube.com/watch?v=R6S-b_k-ZKY

#npm #Opensource #Faker

EDIT 1/8: 原作者更新了视频。

Marak 称自己的 GitHub 账号被停用，以及声明回滚 npm 上的包到之前版本的是 npm 官方而不是 Marak 自己。

https://twitter.com/marak/status/1479200803948830724

https://news.ycombinator.com/item?id=29837473

#Fakerjs #npm #GitHub #OpenSource

同样由 faker.js 作者 Marak 开发的 colors.js 于早些时候发布的 1.4.1 和 1.4.44-liberty-2 版本包含一段会造成无限循环的代码 [1]，而这段代码看起来是由作者故意加入的。

www.bleepingcomputer.com/~
https://news.ycombinator.com/item?id=29863672

snyk.io/~
https://news.ycombinator.com/item?id=29867525

1. github:Marak/colors.js@074a0f8e

#npm #OpenSource #colorjs

#npm #cnpm #taobao

npm 上的沙盒模块 vm2 被发现存在沙盒绕过漏洞。用到此模块的用户（例如 snowpack 间接依赖此模块）可以考虑对其进行更新。

影响版本： [, 3.9.6)
CVE: CVE-2021-23555 (CVSS: 9.8)

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-23555
https://security.snyk.io/vuln/SNYK-JS-VM2-2309905

#CVE #vm2 #npm #Sandbox

Vue CLI 已经发布 4.5.16/5.0.3 版本，以锁定 node-ipc 的依赖到不含 peacenotwar 模块的版本。昨天下午到晚上新透过 Vue CLI 创建的项目/更新依赖的项目可能受到 peacenotwar 模块的影响，但此模块不会导致文件被删除。

https://github.com/vuejs/vue-cli/issues/7054#issuecomment-1068677029

thread: /3471

#Vue #NodeIPC #npm

GitHub 和 npm 在逐渐推进 2FA 的普及。

npm 正在要求被大量依赖的包的维护者强制配置 2FA：今年二月是前 100 的 npm 包，五月末是前 500，今年第三季度则将要求所有超过 500 个依赖或超过 100 万每周下载的包的维护者均启用 2FA。

GitHub 也将要求所有在 GitHub.com 贡献代码的用户最晚于 2023 年末启用一种或多种 2FA 方式。

https://github.blog/2022-05-04-software-security-starts-with-the-developer-securing-developer-accounts-with-2fa/

#2FA #Security #Ecosystem #GitHub #npm

npm 的更新使用户现在可以：
* 设置多种 2FA 方式，包括二步验证应用、生物设备，以及硬件安全密钥等。
* npm 6 以上的版本将可以使用生物设备/硬件安全密钥作为登录和发布时的 2FA 验证方式。
* 查看和生成安全代码

- https://github.blog/changelog/2022-05-10-enhanced-2fa-experience-for-npm-accounts-public-beta/
- https://github.blog/2022-05-10-enhanced-2fa-experience-for-your-npm-account/

thread: /3572

#npm #2FA

GitHub 发布对近期 npm 安全事件的分析。其中提到攻击者利用了存储在 npm 私有 repo 的凭据获取了包含公开/私有包元信息和包括密码哈希的用户信息等内容。利用这些凭据，攻击者本还可以直接修改 S3 上存储的 npm 包的内容，不过 GitHub 经过核实后表示攻击者并未这么做。GitHub 还注意到一些密钥出现在内部日志中，不过这些日志应该并未被攻击者访问。

在文章中，GitHub 也提到了应对这些问题的措施和做出的改变。

https://github.blog/2022-05-26-npm-security-update-oauth-tokens/
seealso: HackerNews:31526044

thread: /3537

#GitHub #npm #Security #Postmortem

最近 GitHub 和 npm 的新闻有点儿多儿：

* GitHub Sponsors 在 30 个新地区开放。猜猜有没有中国大陆？（提示：没有。）
https://github.blog/2022-07-28-github-sponsors-available-in-30-new-regions-2/

* 新 GitHub Projects 进入 GA 阶段。
https://github.blog/changelog/2022-07-27-github-issues-projects-now-generally-available/

* 现在 fork 时可以选择只 fork 主分支。
https://github.blog/changelog/2022-07-27-you-can-now-fork-a-repo-and-copy-only-the-default-branch/

* 现在 GitHub Pages 可以通过自定义 GitHub Actions 直接部署，而不必把构建结果专门 push 到特定分支来发布到 Pages。
https://github.blog/changelog/2022-07-27-github-pages-custom-github-actions-workflows-beta/

* npm 包的签名从使用 PGP 变为使用 ECDSA 。用户可以运行 npm audit signatures 检查包签名。
https://github.blog/changelog/2022-07-26-a-new-npm-audit-signatures-command-to-verify-npm-package-integrity/

* npm 新增一些安全增强特性。例如使用 --auth-type=web 借助浏览器进行登录/发布新包的验证及使用硬件密钥验证、为方便 workspace 用户一次性发布多个包设计的 5 分钟记住验证状态的功能，以及通过 OAuth 与 GitHub 和 Twitter 帐号绑定（过去这两项社交媒体关系都由开发者自行填写）。
- https://github.blog/changelog/2022-07-26-general-availability-of-improved-2fa-experience-in-npm/
- https://github.blog/changelog/2022-07-26-beta-release-of-verifiable-github-and-twitter-account-linking/

#GitHub #npm

npm 9 已经可以使用，或于 11/9 正式发布。

https://github.blog/changelog/2022-10-24-npm-v9-0-0-released/

#npm

npm 宣布基于 PGP 的 registry 签名将于 2023/3/31 被废弃。此日期后的签名将不再使用 PGP 密钥 (3D4D 5B12 0276 566A) [1]。

https://github.blog/changelog/2022-11-01-npm-signature-verification-using-pgp-keys-is-now-deprecated/

1. https://keybase.io/npmregistry

#npm #PGP #ECDSA

chalk 和 chokidar 均为 npm 上著名包。

GitHub 项目 AFFiNE 近日从一个 PR 发现项目开发者曾误引入一个名为 chalk-next 的恶意包（与此 PR 似乎无关），此 chalk-next 包包含尝试收集/检查系统环境变量及删除文件的投毒代码 [1]。有 Twitter 用户分析后提到 [2]，疑似同一位作者还发布了包含类似行为，名为 chokidar-next 的包 [4]。

从 chokidar-next 包作者 [5] 其它包元信息指向的 GitHub 用户来看，这两个包的目的似乎是检测 vue-admin-beautiful 付费版本盗版用户并删除其代码 [6]。

目前 chalk-next 和 chokidar-next 均被标记为 "Security holding package" [7][8]。

1. https://github.com/toeverything/AFFiNE/pull/668
2. https://twitter.com/yihong0618/status/1610919470410928133
3. https://www.npmjs.com/org/chu1204505056
4. web.archive.org/~
5. web.archive.org/~
6. https://github.com/chuzhixin/chalk-next
7. https://www.npmjs.com/package/chalk-next
8. https://www.npmjs.com/package/chokidar-next

#npm #vueadminbeautiful #OpenSource #Ecosystem #SupplyChain #Security

硬件钱包厂商 Ledger 前雇员遭受钓鱼攻击，导致其项目被骇；用户资产可能进入骇客钱包。

- Ledger 的声明称，Ledger Connect Kit [1] 被发布三个恶意版本 (1.1.5/1.1.6/1.1.7)。恶意版本会将用户的资产转移到骇客钱包。
- Ledger 提供的骇客钱包地址中目前有现时价值约 10 万美元的代币。
- 此行为所利用的 WalletConnect 项目已被关停；Tether 也已经冻结此地址上的 USDT 代币。

https://twitter.com/Ledger/status/1735326240658100414

1. npm:@ledgerhq/connect-kit

#Ledger #npm #Security #Crypto

npmjs.org 被用来托管《武林外传》视频及弹幕。

- Sonatype 发现 npm 上的 748 个包名以 wlwz 开头的包里的 .ts 文件并不是 TypeScript 源代码，而是视频文件 (MPEG-TS)。
- 虽然文章中没有写明，但中文订户大概能看出视频的内容是《武林外传》剧集。

blog.sonatype.com/~

linksrc: https://www.v2ex.com/t/1012222

#npm

#PSA: debug、chalk 等 npm 包被骇：请检查受影响版本是否被使用。

- Qix- 是终端字符处理方面一些著名 npm 包的开发者，维护包括 ansi-styles、debug、chalk 等包。其中许多包每周下载量上亿次。
- 开发者被 2FA 恢复验证邮件钓鱼，使得骇客得以访问开发者的 npm 账号。
- 目前有 18 个包确认被注入恶意代码；截至现时，已知被注入恶意代码的版本均被移除。原文列出了这些包的列表。
- （ChatGPT 称）恶意代码的主要行为是替换 HTTP 等请求中的数字货币账户地址，使用户的付款等操作的接收者变为骇客提供的地址。

gh:debug-js/debug#1005

seealso: HackerNews:45169657
linksrc: https://t.me/bupt_moe/2516

#npm #security

Shai-Hulud：npm 供应链投毒攻击；建议订户检查自己的设备/repo 是否有受到影响。

- 超过 1000 个包被投毒虚假的 Bun 安装器。
- 攻击行为包括创建名为 SHA1HULUD 的 GitHub Action runner 和建立 actionsSecrets.json 文件存储密钥等。

https://helixguard.ai/blog/malicious-sha1hulud-2025-11-24

#Sha1Hulud #npm #Ecocystem

npm 已废弃 classic token。

请使用 npm token create 或在 npmjs.com 上生成新的 granular token。

github.blog/~

#npm