Haftada 2,2 milyon kez indirilen "@ctrl/tinycolor" adlı NPM paketi, kötü amaçlı bilgi hırsızları içeren bir tedarik zinciri saldırısına uğradı.

BlockBeats'e göre, Scam Sniffer, 16 Eylül'de haftalık 2,2 milyon indirme sayısına ulaşan "@ctrl/tinycolor" NPM paketinin kötü amaçlı bir sürümle enfekte olduğunu duyurdu. Bu güvenlik açığı, npm kurulum sonrası işlemi sırasında, hassas verileri tarayıp çıkarmak için meşru TruffleHog aracını kullanarak bir bilgi hırsızı çalıştırıyor. Yaklaşık 40 bağımlı paket etkilenmiş durumda. Kullanıcılar, etkilenen sürümü yükleyip yüklemediklerini derhal kontrol etmeli, güncellemeleri askıya almalı ve güvenli bir sürüme kilitlenmelidir.