Une nouvelle attaque ciblant la chaîne d'approvisionnement NPM s'est produite, @ctrl/tinycolor a publié une version malveillante

Selon ChainCatcher, Scam Sniffer a détecté une nouvelle attaque ciblant la chaîne d'approvisionnement NPM. Un version malveillante de @ctrl/tinycolor (avec 2,2 millions de téléchargements hebdomadaires) a été publiée. Cette version exécute un programme de vol d'informations lors de l'exécution du script postinstall sur npm, afin de scanner et de dérober des données sensibles.

Cette charge utile malveillante détourne l'utilisation de l'outil légitime de scan d'informations sensibles TruffleHog. Veuillez vérifier si vous avez téléchargé une version affectée, suspendre les opérations d'installation/mise à jour, et verrouiller la version sur une version connue comme étant sûre.