Dans NPM 12.0, l'exécution des scripts lors de l'installation des packages est désactivée par défaut

La version 12.0 du gestionnaire de paquets NPM, inclus dans Node.js et utilisée pour la distribution de modules en JavaScript, a été publiée. Cette nouvelle version se distingue par l'arrêt par défaut de l'exécution de scripts lors de l'installation de paquets. Ce changement vise à compliquer la réalisation d'attaques par compromission de dépendances et à ralentir la propagation des vers activés par des scripts d'installation.

Pour interdire l'exécution automatique des scripts spécifiés dans package.json via les paramètres preinstall, install ou postinstall, la configuration allowScripts est par défaut réglée sur « off ». L'exécution de tels scripts, ainsi que le démarrage de la compilation de code C/C++ avec l'outil node-gyp en l'absence d'un fichier binding.gyp dans le paquet, se fait désormais uniquement sur instruction explicite de l'utilisateur. De plus, les options « —allow-git » et « —allow-remote » sont maintenant réglées par défaut sur « none », ce qui désactive le téléchargement automatique de dépendances depuis des dépôts Git et des liens directs vers des sites avec des archives tar.

Pour organiser l'exécution de scripts d'installation, il convient d'utiliser la commande « npm approve-scripts », à laquelle on passe les noms de paquets dignes de confiance, ou l'option « —all » pour autoriser tous les paquets. Pour les paquets douteux, il est recommandé d'exécuter la commande « npm approve-scripts —allow-scripts-pending », qui affichera une liste des scripts candidats à l'exécution. Après vérification de ces scripts, ils peuvent être autorisés par la commande « npm approve-scripts » et ajoutés à la liste blanche dans package.json.

De plus, il a été annoncé l'interdiction d'utilisation dans le dépôt NPM des jetons d'accès GAT (Granular Access Tokens), configurés pour effectuer des actions sans authentification à deux facteurs (2FA). À partir d'août, ces jetons ne permettront plus d'effectuer des opérations telles que la création ou la suppression de jetons, la modification de profil, de mot de passe ou d'e-mail, la configuration de l'authentification à deux facteurs, la génération de codes de récupération, la modification des droits d'accès et la gestion des accompagnants sans une confirmation manuelle supplémentaire des actions.

En janvier 2027, il est prévu d'interdire la publication directe de paquets utilisant des jetons contournant le 2FA. Les paquets pourront cependant être publiés dans la section staging, où ils resteront jusqu'à la confirmation manuelle de la version par un accompagnateur. Après confirmation manuelle, les paquets publiés seront disponibles pour installation par les utilisateurs.

Pour la publication automatique, il est proposé d'utiliser le mécanisme « Trusted Publishers », basé sur la norme OpenID Connect (OIDC) et des jetons d'authentification à durée limitée échangés entre les services externes et le catalogue de paquets pour confirmer l'opération de publication au lieu d'utiliser des mots de passe traditionnels ou des jetons d'accès API permanents.

Source : opennet.ru