حزمة bee-js الخبيثة نُشرت على npm عبر workflow المشروع الرسمي بتوقيعات provenance سليمة
المغزى: صلاحية النشر لم تعد في الـ token وحده، بل في كل ما يستطيع تشغيل workflow النشر، والـ provenance يثبت مكان بناء الحزمة لا أن أحدًا راجع كودها.
تقرير MCPhantom: الـ coding agents تركّب خوادم MCP مؤرشفة لا تتلقى تحديثات أمان، من ذاكرة التدريب
المغزى: الـ agent الذي يختار الحزمة من ذاكرته لا من السجل الرسمي يضيف إلى جهاز المطوّر dependency تعمل فعلًا لكنها غير مكتوبة في أي ملف، فلا تراها أدوات الفحص ولا يملك إغلاقها مزوّد واحد.
npm يرفض حزمة اسمها estee لتشابهها مع testem، وحساب يُظهر أن 841 اسمًا تكفي لإغلاق الأسماء الرباعية
المغزى: الحماية من انتحال أسماء الحزم حقيقية، لكن سقفها الثابت لا يتغير مع طول الاسم، فيقع ثمنها كله على من يبحث عن اسم قصير بينما تمر الأسماء الطويلة بلا عائق.
كود خبيث في حزم MemOS لذاكرة الـ agents على npm وPyPI يقرأ نص الـ prompt ويسرق المفاتيح
المغزى: أي حزمة تقرأ الـ prompt قبل أن يصل إلى النموذج تقف في موضع ثقة كامل، واختراقها لا يكشف المفاتيح فقط بل كل ما كتبه المستخدم للنموذج.
ثغرة SlugFest في trusted publishing على npm سمحت بالنشر باسم حزم الآخرين عبر اسم مستودع مستعاد
المغزى: أي نظام يربط الثقة باسم قابل للتحرير بدل معرّف ثابت يسمح بانتقال تلك الثقة إلى شخص آخر بمجرد أن يُترك الاسم ويُستعاد.
Nolan Lawson يشرح ثلاثة أسباب تجعل المطورين يتجاهلون ما يقدمه المتصفح أصلًا
كل حزمة تُضاف بدل قدرة موجودة في المتصفح تصبح اعتمادًا يتحمله الفريق: حجمها وثغراتها وصيانتها، واليوم الذي يتوقف فيه صاحبها عن تطويرها.
npm تضيف صلاحية dist-tag إلى الـ trusted publishing فيمكن الاستغناء عن آخر token طويل العمر
أنظف pipeline للنشر على npm كان يحتفظ بمفتاح واحد طويل العمر لمهمة صغيرة، وهذا المفتاح تحديدًا هو الطريق الذي سلكته معظم هجمات npm هذا العام.
ثلاث حزم npm تنتحل mathjs تجمع أكثر من 3 ملايين تحميل في 6 أيام بكود خبيث مشفّر
حين يبقى الكود الخبيث مشفرًا ولا يُفك إلا بمدخل معيّن، تفقد مراجعة كود الحزمة قيمتها كوسيلة فحص، ويصبح الاسم الخاطئ بحرف واحد هو الثغرة الحقيقية.
المؤسس المشارك لـ npm يقترح تمويل المصادر المفتوحة عبر رسوم على مستوى الـ registry
كل محاولة لفرض رسوم عبر الرخصة انتهت بـ fork، ونقل نقطة التحصيل إلى الـ registry قد يوصل المال إلى الذيل الطويل من المطورين الذين لا تصلهم أي منحة.
npm تتيح tokens للـ CI تجهّز النسخة ولا تستطيع نشرها دون موافقة بشرية
token مسرّب من خط الـ CI كان كافيًا لنشر نسخة خبيثة باسم صاحب الحزمة. الخيار الجديد يضع إنسانًا بخاصية 2FA بين التسريب والنشر.
CrowdSec تكشف تسرب كودها الخاص عبر مكون مخترق من TanStack، بعد أربعة أشهر من الاختراق
توكن بصلاحية قراءة فقط يُعامل عادة على أنه غير خطر، لكن الكود المصدري نفسه قد يكون الخريطة التي تشرح لمن يقرؤه كيف يدخل.
npm توقف النشر 72 ساعة بعد أي دخول برمز استرداد، لكل الحسابات
قررت npm أن تأخير الناشر الشرعي ثلاثة أيام أرخص من انتشار حزمة مسمومة لساعة واحدة، وصار لترتيب خطوات أي maintainer قبل الإصدار ثمن.
npm تتيح أكثر من إعداد trusted publishing للحزمة وتربط الموافقة على النشر بانتهاء فحص البرمجيات الخبيثة
النشر على مرحلتين يضع بابًا بين اختطاف الـ workflow ووصول الحزمة إلى المستخدمين، ومن يستهلك الحزم فقط يستفيد دون أن يفعل شيئًا.
npm يقصر tokens تخطي المصادقة الثنائية على النشر ويمنعها من تعديل الحسابات
مفتاح النشر في أنظمة CI كان يفتح الحساب كله، فتسريبه كان يعني فقدان السيطرة على الحساب قبل نشر أي نسخة ملوثة.
الشرطة الأسترالية وFBI يعتقلان شابين متهمين بالوقوف وراء دودة Shai-Hulud
القبض على المتهمين لا ينهي الخطر، لأن كود الدودة نُشر قبل ذلك على منتديات الجريمة. والـ token واسع الصلاحيات في أنظمة CI يبقى الهدف نفسه.
NestJS 12 يصدر بحزمة ESM بالكامل ويحذف webpack من أداة الـ CLI
قرار الانتقال إلى ESM الذي أجّلته فرق كثيرة لسنوات اتخذه الإطار نيابة عنها، وأغلب كلفة الترقية ستقع في أدوات البناء والاختبار لا في منطق التطبيق.
Node.js 26.8.0 يضيف دعم ZIP إلى zlib مع سقف لحجم المحتوى بعد الفك
حماية من ملفات zip bomb كانت مسؤولية كل مطور يتذكرها أو ينساها، صارت جزءًا من الـ runtime نفسه، ومعها قد تختفي حزمة كاملة من كثير من المشاريع.
pnpm 12 يصدر بقدرة على تنزيل مديري الحزم الآخرين وبملف lockfile ثابت
جزء كبير من مشكلة يعمل على جهازي ولا يعمل على الـ CI سببه ملف lockfile يتغير دون تغيير حقيقي، والإصدار الجديد يعالج هذا السبب تحديدًا.
حملة تستخدم 24 حزمة على npm استضافة مجانية لصفحات تصيد من نوع ClickFix
النطاق الحقيقي والشهادة الحقيقية لم يعودا دليلًا على سلامة الصفحة، لأن أي CDN يعكس registry عامًا يصبح استضافة مجانية لكل من يستطيع نشر حزمة.
Bun 1.4 يصدر ويدمج بدائل Puppeteer وsharp وnode-cron داخل الـ runtime
كل حزمة تختفي من المشروع تعني سلسلة توريد أقصر وحساب مشرف أقل يمكن اختراقه، لكن الاعتماد لا يختفي، بل ينتقل من npm إلى الـ runtime نفسه.
Node.js 24.19.0 LTS يجعل Argon2 لتهشير كلمات المرور مستقرًا داخل النواة
نقل وظيفة أمنية حساسة من حزمة خارجية إلى النواة يقلّص سطح الهجوم في المشروع دون أي جهد من فريقه، وهو مكسب نادرًا ما يُلتفت إليه.
الموجة السادسة من دودة Shai-Hulud تصيب أكثر من 400 حزمة npm بينها keyv وcacheable
ملفات إعدادات المحررات وأدوات الذكاء الاصطناعي صارت سطحًا يُنفَّذ منه الكود، بينما تتعامل معها أدوات الفحص كأنها إعدادات لا تستحق القراءة.
حزم AsyncAPI الخبيثة على npm حملت توقيع provenance سليمًا من خط النشر الرسمي
توقيع provenance يثبت أين بُنيت الحزمة وكيف، لا أنها آمنة، والخلط بين السؤالين يجعل التوقيع إشارة ثقة لا يستحقها.
npm 12 يوقف install scripts افتراضيًا، وبعد 3 أيام يتجاوز اختراق jscrambler الحماية الجديدة
إغلاق سطح هجوم لا يلغي الهجوم بل ينقله، والمهاجم انتقل من وقت التثبيت إلى وقت الاستيراد، ومعه تحولت ملفات إعدادات مساعدات البرمجة إلى هدف مفضل.