{"id":182580,"date":"2026-07-09T22:53:44","date_gmt":"2026-07-09T20:53:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov"},"modified":"2026-07-09T22:53:44","modified_gmt":"2026-07-09T20:53:44","slug":"v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-npm-12-0-po-umolchaniyu-otklyuchyon-zapusk-skriptov-pri-ustanovke-paketov","title":{"rendered":"In NPM 12.0, script execution during package installation is disabled by default.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
The release of the NPM 12.0 package manager has been published, which is included with Node.js and used for distributing modules in JavaScript. This new version is notable for its default disabling of script execution during package installation. This change is expected to complicate attacks through dependency compromise and slow down the spread of worms activated from install scripts. <\/p>\n
Per disattivare l'esecuzione automatica degli script specificati nel package.json tramite i parametri preinstall, install o postinstall, l'impostazione allowScripts \u00e8 impostata per default su 'off'. L'esecuzione di tali script, cos\u00ec come la compilazione di codice C\/C++ con lo strumento node-gyp in presenza di un file binding.gyp nel pacchetto, avverr\u00e0 solo a seguito di un'espressa istruzione da parte dell'utente. Inoltre, le opzioni '--allow-git' e '--allow-remote' sono ora impostate per default su 'none', disabilitando cos\u00ec il download automatico delle dipendenze dai repository Git e da link diretti a siti con archivi tar. <\/p>\n
Per avviare gli script di installazione \u00e8 necessario utilizzare il comando 'npm approve-scripts', al quale si possono passare i nomi dei pacchetti fidati o l'opzione '--all' per concedere permesso a tutti i pacchetti. Per i pacchetti sospetti, si consiglia di eseguire il comando 'npm approve-scripts --allow-scripts-pending', che stamper\u00e0 un elenco degli script in attesa di esecuzione. Dopo aver verificato tali script, potranno essere autorizzati con il comando 'npm approve-scripts' e aggiunti alla lista bianca nel package.json. <\/p>\n
Inoltre, \u00e8 stato annunciato il divieto di utilizzare nel repository NPM i GAT token di accesso (Granular Access Tokens) configurati per eseguire azioni senza autenticazione a due fattori (2FA). A partire da agosto, tali token non consentiranno di eseguire operazioni come la creazione o la cancellazione di token, la modifica del profilo, della password o dell'email, la configurazione dell'autenticazione a due fattori, la generazione di codici di ripristino, la modifica dei permessi e la gestione degli accompagnatori, senza una conferma manuale aggiuntiva. <\/p>\n
A gennaio 2027 si prevede di vietare la pubblicazione diretta di pacchetti utilizzando token che aggirano il 2FA. I pacchetti potranno comunque essere pubblicati nella sezione staging, dove rimarranno fino alla conferma manuale del rilascio da parte di un responsabile. Dopo la conferma manuale, i pacchetti pubblicati diventeranno disponibili per l'installazione da parte degli utenti. <\/p>\n
Per la pubblicazione automatica, \u00e8 consigliabile utilizzare il meccanismo \u00abTrusted Publishers\u00bb, basato sullo standard OpenID Connect (OIDC) e sui token di autenticazione a tempo limitato, che vengono scambiati tra servizi esterni e il catalogo dei pacchetti per confermare l'operazione di pubblicazione di un pacchetto, anzich\u00e9 utilizzare password tradizionali o token di accesso API permanenti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"