Outro ataque à cadeia de suprimentos do NPM ocorre novamente, @ctrl/tinycolor publica versão maliciosa

De acordo com ChainCatcher, o Scam Sniffer detectou mais um ataque direcionado à cadeia de suprimentos do NPM. A biblioteca @ctrl/tinycolor (com 2,2 milhões de downloads semanais) lançou uma versão maliciosa, que executa um programa de roubo de informações durante o script postinstall do npm para escanear e roubar dados sensíveis.

Essa carga maliciosa explorou a ferramenta legítima de varredura de informações sensíveis TruffleHog. Verifique se você baixou uma versão afetada, suspenda instalações/atualizações e fixe a versão para uma conhecida como segura.