Aanval op NPM waarmee de aanwezigheid van pakketten in privé-repositories kan worden vastgesteld
In NPM is een probleem ontdekt, waardoor het mogelijk is om het bestaan van pakketten in gesloten repositories te bepalen. Het probleem wordt veroorzaakt door de verschillende reactietijden bij het opvragen van een bestaand en een niet-bestaand pakket door een externe gebruiker, die geen toegang heeft tot de repository. Bij afwezigheid van toegang voor alle pakketten in privé-repositories retourneert de server registry.npmjs.org een fout met code '404', maar als het pakket met de aangevraagde naam bestaat, wordt de fout weergegeven […]
