Vulnérabilité permettant de publier une mise à jour pour n'importe quel package dans le dépôt NPM
La société GitHub a révélé des informations sur deux incidents au sein de l'infrastructure du dépôt de paquets NPM. Le 2 novembre, des chercheurs en sécurité externes (Kajetan Grzybowski et Maciej Piechota) ont signalé dans le cadre du programme Bug Bounty qu'une vulnérabilité dans le dépôt NPM permettait de publier une nouvelle version de n'importe quel paquet, en utilisant pour cela un compte qui n'était pas autorisé à effectuer de telles mises à jour. La vulnérabilité a été causée par […]
