В NPM пакетния репозиторий е открит проблем със сигурността, който позволява на собственика на пакета да добави всеки потребител в списъка на съпровождаещите без да получи съгласие от него и без да бъде информирано за действието. Проблемът се усложнява от факта, че след добавянето на външен потребител сред съпровождаещите, оригиналният автор на пакета можел да се отстрани от списъка и външният потребител оставал единственият отговорен за пакета.
Тази уязвимост може да бъде експлоатирана от създатели на злонамерени пакети за добавяне на известни разработчици или големи компании сред съпровождаещите с цел увеличаване на доверието на потребителите и създаване на илюзия, че уважавани разработчици отговарят за пакета, въпреки че всъщност нямат нищо общо с него и дори не предполагат за неговото съществуване. Например, атакуващият може да публикува злонамерен пакет, да смени съпровождаещия и да покани потребителите да тестват нова разработка на голямата компания. Уязвимостта също така можеше да се използва за очерняне репутацията на определени разработчици, представяйки ги като инициатори на съмнителни акции и злонамерени действия.
Компанията GitHub е уведомена за проблема на 10 февруари и го е разрешила в npmjs.com на 26 април, чрез въвеждане на задължително потвърждение от потребителите за съгласие за присъединяване към друг проект. На разработчиците на множество пакети NPM е препоръчано да проверят дали в списъка на собствените им пакети има добавки, направени без тяхно съгласие.
Източник: opennet.ru
