Пакет jscrambler, который разработчики используют для интеграции обфускации JavaScript-кода в сборочные конвейеры, стал звеном в цепочке поставок после публикации вредоносной версии 8.
Одиннадцатого июля 2026 года официальный npm-клиент коммерческого сервиса по обфускации JavaScript jscrambler был скомпрометирован. Злоумышленник опубликовал пять вредоносных версий пакета, используя учётную
Исследователи из SafeDep зафиксировали новую кампанию по распространению вредоносного программного обеспечения через реестр npm. Злоумышленники используют заражённую копию популярного пакета nodemon под именем nodemon-sudo версии 3.
В конце июня 2026 года в реестре NPM появилась серия вредоносных пакетов, за два дня загруженных почти 20 тысяч раз. Эти пакеты маскировались под популярные инструменты для работы с искусственным интеллектом
Открытые репозитории пакетов давно стали неотъемлемой частью современной разработки. Особенно это касается экосистемы блокчейна и Web3, где скорость выпуска продуктов критически важна.
Злоумышленники опубликовали вредоносную версию популярного npm-пакета @injectivelabs/sdk-ts (около 50 тысяч загрузок в неделю), предназначенного для работы с блокчейном Injective.
Семнадцать пакетов, опубликованных 7 июля 2026 года в реестрах npm и PyPI, представляют собой целенаправленную атаку на разработчиков, использующих официальные SDK для платежных систем PaySafe, Skrill и Neteller.
Первого июля 2026 года пользователь npm marketfront за три минуты опубликовал 25 пакетов в область @marketfront. Все пакеты имели версию 7.0.0 и содержали постинсталляционный сборщик учётных данных.
Специалисты исследовательской группы JFrog Security выявили кластер вредоносных npm-пакетов, маскирующихся под инструментарий Rollup polyfill. Два основных пакета, rollup-packages-polyfill-core и rollup-runtime-polyfill-core
Группа из десяти учётных записей реестра npm в июне 2026 года запустила масштабную кампанию, нацеленную на разработчиков децентрализованных финансов (DeFi). Участники опубликовали 30 пакетов, имена которых
