Angreb på NPM, der gør det muligt at bestemme tilstedeværelsen af pakker i private repositoryer
Der er opdaget en svaghed i NPM, der tillader bestemmelse af eksistensen af pakker i lukkede repositoryer. Problemet skyldes forskelle i responstider, når en tredjepartsperson uden adgang til repositoryet anmoder om en eksisterende og en ikke-eksisterende pakke. I tilfælde af at der ikke er adgang til nogen pakker i private repositoryer, returnerer serveren registry.npmjs.org en fejl med koden „404”, men hvis pakken med det anmodede navn eksisterer, vises en fejl […]
