एस्लिंट-स्कोप v3.7.2 एनपीएम टोकन चुराता है

सहकर्मियों, कृपया ध्यान दें कि यदि आपने नोडज पैकेज को आज अद्यतन किया है, तो एस्लेंट-स्कोप को ३..2.२ संस्करण में बदल दिया है, तो आपको तत्काल एनपीएम टोकन बदलने और अपने पैकेजों में नवीनतम आवागमन की जांच करने की आवश्यकता है।

संदर्भ द्वारा घटना का सारांश ।

संक्षेप में, एक अनजाने-दायरे के डेवलपर्स के टोकन को अज्ञात तरीके से प्राप्त करने के बाद, पैकेज का एक संस्करण 3.7.2 जारी किया गया था, एक फ़ाइल से टोकन एकत्र करना।

npmrc=path.join(process.env.HOME||process.env.USERPROFILE,'.npmrc'); 

और उन्हें हमलावरों को भेजना।

एस्लिंट-स्कोप संस्करण 3.7.1 और 3.7.3 सुरक्षित हैं।

संस्करण 3.7.2 को एनपीएम रिपॉजिटरी से हटा दिया गया है, लेकिन अभी भी स्थानीय कैशिंग रिपॉजिटरी में रह सकता है।

यह सत्यापित करने के लिए कि आप प्रभावित नहीं हैं, निम्न विकल्प उपलब्ध हैं:

1।

 for packagejson in $(find ~/code -name 'package.json' -path '*node_modules/eslint-scope/*'); do jq '.version' $packagejson | grep '3.7.2' 1>/dev/null; if [[ $? == "0" ]]; then echo $packagejson; fi; done 

2.gist.github.com/brownstein/8aaade4953807f512d416da0c6a5a5f6 ( स्क्रिप्ट यहां से है )।

UPD> यह महत्वपूर्ण है क्योंकि यह पैकेज एस्लिंट में आदी है। और यह अभी भी बेबल और वेबपैक में लगता है।