#chuỗi cung ứng
4 bài
PyPILiteLLM 1.107.0 chứa mã độc, chỉ cần mở Python là key bị gửi đi
Bản LiteLLM 1.107.0 trên PyPI và Docker bị cài mã độc lấy key cloud, key AI, mật khẩu trình duyệt. Ai cài hay kéo image trong chiều tối 21/10 (giờ Việt Nam) cần dựng lại môi trường bằng 1.106.2 và đổi mọi khóa.
npmGói npm độc giấu mã trong addon native, --ignore-scripts không cản được
Chiến dịch MALFEX tung biến thể imgdecode, giấu trình nạp mã độc trong file .node dựng sẵn, chạy ngay khi require chứ không cần script cài đặt. Danh sách gói, dấu hiệu nhiễm trên Windows và cách xử lý.
WordPressPlugin Rank Math SEO PRO 3.0.123 bị cài cửa hậu ngay trong bản tải chính thức
Trong 11 tiếng ngày 15–16/10, ai tải hoặc cập nhật Rank Math SEO PRO 3.0.123 đều nhận bản có mã độc tạo tài khoản admin lạ và cửa hậu tự hồi sinh. Cách kiểm tra và dọn dẹp từng bước.
npmHơn 1.500 gói npm có thể bị chiếm mà không cần mật khẩu
Lỗ hổng SlugFest trong tính năng Trusted Publishing của npm cho phép kẻ khác phát hành bản mới của gói người khác chỉ bằng cách giành lại tên repo GitHub đã đổi hoặc đã xóa. npm đã vá, nhưng chủ gói vẫn nên tự kiểm tra.