毎週220万回ダウンロードされているNPMパッケージ「@ctrl/tinycolor」が、悪意のある情報窃盗ツールを含むサプライチェーン攻撃の被害に遭いました。

BlockBeatsによると、Scam Snifferは9月16日、週220万ダウンロードのNPMパッケージ「@ctrl/tinycolor」が悪意のあるバージョンに感染していると警告しました。このエクスプロイトは、npmのインストール後プロセス中に情報窃取ツールを実行し、正規ツールTruffleHogを使用して機密データをスキャン・窃取します。約40個の依存パッケージが影響を受けています。ユーザーは、影響を受けるバージョンがインストールされているかどうかを直ちに確認し、アップデートを一時停止し、安全なバージョンをロックする必要があります。