#NPM #NodeJS #devs #PackagePlanting Un fallo en NPM permite a | Security News for Everyone

#NPM #NodeJS #devs #PackagePlanting

Un fallo en NPM permite a atacantes añadir a cualquiera como contribuidores de paquetes maliciosos

Un fallo en el registro de NPM permitía a autores de paquetes maliciosos añadir de forma silenciosa a cualquier usuario. De esta forma, desarrolladores de paquetes legítimos aparecerían como desarrolladores para dar a los usuarios "más confianza".

El fallo conocido como "Package Planting" podía utilizarse para añadir una gran cantidad de usuarios sin notificarles y sin su consentimiento. Actualmente, NPM ha corregido el fallo, mandando un correo previamente a los desarrolladores para tener su consentimiento.

Fuente en inglés:
https://www.bleepingcomputer.com/news/security/npm-flaw-let-attackers-add-anyone-as-maintainer-to-malicious-packages/

WriteUp:
https://blog.aquasec.com/npm-package-planting