Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"NPM-пакет Stylus был по ошибке заблокирован из-за подозрений в наличии вредоносного кода"	+/–
Сообщение от opennews (?), 27-Июл-25, 10:27
Администраторы репозитория NPM по ошибке заблокировали пакет Stylus, распознав в нём несуществующее вредоносное ПО. Через 12 часов после отправки жалобы в NPM проблема была отмечена как не соответствующая действительности, объявление о наличии вредоносного ПО было отозвано, а пакет восстановлен в репозитории... Подробнее: https://www.opennet.me/opennews/art.shtml?num=63635
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

3. Сообщение от Аноним (3), 27-Июл-25, 11:54	+9 +/–
> Мотивы действий разработчика "panya" не ясны, предполагается, что он мог проводить исследования, связанные с безопасностью. "мотивы ограбления не ясны. предположительно, грабитель проводил исследования, связанные с деньгами."
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

4. Сообщение от 1 (??), 27-Июл-25, 12:03	–1 +/–
Товарищи аминистраторы репозитория NPM, произошла чудовищная ошибка!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45

5. Сообщение от Аноним (5), 27-Июл-25, 12:17	+/–
Как от этого спасаться? package-lock.json?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #30

7. Сообщение от Аноним (7), 27-Июл-25, 12:26	+3 +/–
Удивительное королевство. Не вредоносные банить, вредоносные не банить.
Ответить | Правка | Наверх | Cообщить модератору

8. Сообщение от 1 (??), 27-Июл-25, 12:34	+1 +/–
Если у вас что-то важное, то поднимите свое зеркало пакетов, которые используются в вашем проекте. На зеркале включите сканеры безопасности. Создайте регламенты обновления, следите за изменениями и контролируйте каждую модификацию в package-lock.json. Это будет дорого. Поэтому если ни чего важного нет, то просто расслабьтесь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

12. Сообщение от Аноним (-), 27-Июл-25, 13:20	+1 +/–
Мы словили эту проблему через зависимости nx. Добавили оверайд в package.json на гитхаб. Держу в курсе.
Ответить | Правка | Наверх | Cообщить модератору

15. Сообщение от Аноним (15), 27-Июл-25, 13:56	+/–
> привело к массовыми сбоям в сборочных системах тренировка прошла успешно
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #21

19. Сообщение от Аноним (19), 27-Июл-25, 14:05	+1 +/–
1. Об исследованиях надо предупреждать 2. Учетку могли угнать и автор её давно забросил 3. блокировать другой проект. к которому он причастен, с учётом контроля Других участников, и без аудита этого пакета, который блокируют автоматически - не логично. Или авторы систему советов и администрация не верит миллиону глаз, в любви к которым признается в каждом письме?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

20. Сообщение от Аноним (19), 27-Июл-25, 14:09	+/–
Апокалипсис продемонстрирован. ))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

21. Сообщение от Аноним (19), 27-Июл-25, 14:18	+1 +/–
Может это сопровождающие солидарно демонстрируют свою власть в ответ на скрип с 10$ им за сопровождение в соответствие с инициативой Maintenance Fee? ))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

26. Сообщение от Tron is Whistling (?), 27-Июл-25, 16:09	+/–
После NPM в новости или как там его ещё этого, у питона, сразу понятно, что произошла какая-то феерическая фигня. Судьба у этих репозитариев такая.
Ответить | Правка | Наверх | Cообщить модератору

30. Сообщение от morphe (?), 27-Июл-25, 17:28	+/–
Deno позволяет точечно регулировать права Разрешить дёргать лишь определённые команды/пускать только в определённые директории на диске/подключаться к заданному списку доменных имён
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #40, #41

31. Сообщение от Аноним (31), 27-Июл-25, 17:57	+3 +/–
Durilka? Как это может быть вредоносным пакетом?
Ответить | Правка | Наверх | Cообщить модератору

33. Сообщение от Саркофандр (?), 27-Июл-25, 19:35	+2 +/–
Ну уж лучше так, чем если бы там на самом деле вредонос был и его бы не сразу удалили.
Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от Аноним (34), 27-Июл-25, 20:12    Скрыто ботом-модератором	–2 +/–
Какой-то васянство... Никто не будет качать себе с репозиториев, поэтому что там сомнительные личности выкладывает сомнительный софт. А собирать это уже красноглазие и пердолинг с консолью в обнимку с бубеном. Вот по этому и 4 процента дисктопа у Линукс.
Ответить | Правка | Наверх | Cообщить модератору

40. Сообщение от Аноним (40), 28-Июл-25, 03:54	+/–
А еще что?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

41. Сообщение от Аноним (41), 28-Июл-25, 07:07	+/–
Это на уровне юзерленда ограничения, которые очень легко обойти. Настоящая изоляция -- это либо линукс-неймспейсы, либо виртуалка.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #55

45. Сообщение от Аноним (45), 28-Июл-25, 09:23	+/–
> Товарищи аминистраторы репозитория NPM, произошла чудовищная ошибка! Сопровождающий зарегистрировался на почтовом домене inbox.ru?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #59

49. Сообщение от Аноним (49), 28-Июл-25, 10:53	+/–
Т.е. заблокировать автоматом пакет, у которого один из мантейнеров публикует вредоносные пакеты - это ошибка?
Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от morphe (?), 28-Июл-25, 15:31	+/–
> Это на уровне юзерленда ограничения, которые очень легко обойти. Настоящая изоляция -- > это либо линукс-неймспейсы, либо виртуалка. Ты их никак не обойдёшь, эти ограничения там стоят поверх всего уровня общения интерпрататора JS с системой Неймспейсы и виртуалки это хорошо, но как они защитят тебя от майнера/слива данных из той бд/фс куда процессу нужно ходить, туда куда его хождение не было предусмотрено (сервер злоумышленника)? Вот тут как раз только точечные ограничения помогут, будь то opensnitch или вот, ограничения Deno.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #56

56. Сообщение от Аноним (41), 28-Июл-25, 21:09	+/–
> поверх всего уровня общения интерпрататора JS с системой Чувак. Если есть возможность вызова подпроцессов, то сетевые ограничения обходятся вызовом spawn("curl"), или что там у вас в дено. А если в дено бывают нативные модули (аналог .node-модулей), то движок JS будет не единственным, кто общается с системой. Всегда всё можно обойти, вопрос лишь -- насколько целенаправленно искать. Дено -- это вообще не продакшн-ready история, я вообще вначале думал, что его пишет подросток, а там оказывается аффтар нодежс так и не вырос из штанишек.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #57

57. Сообщение от morphe (?), 28-Июл-25, 22:15	+1 +/–
>> поверх всего уровня общения интерпрататора JS с системой > Чувак. Если есть возможность вызова подпроцессов, то сетевые ограничения обходятся вызовом > spawn("curl") ...При условии что ты явно разрешишь запускать curl > А если в дено бывают нативные модули (аналог .node-модулей), то движок JS будет не единственным, кто общается с системой Есть и .node модули, и dlopen/dlsym, и собственные нативные модули. Для всех есть whitelistы > Дено -- это вообще не продакшн-ready история Гоняю deno в продакшене, он обслуживает сотни людей, и я не один такой. Правда не в исходном виде, а подключаю его как библиотеку, deno_core Это в целом намного более грамотно реализованная обёртка над v8 чем node.js, особенно если говорить о поддержке стандартов (В deno предпочтительным является использование web стандартов, а не node.js стандартной библиотеки, которая много где очень криво устроена)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #58

58. Сообщение от Аноним (41), 28-Июл-25, 22:53	+1 +/–
> node.js стандартной библиотеки, которая много где очень криво устроена В Node.js можно передавать буфер в качестве имени файла. В дено считается, что имя файла -- это либо UTF-8-строка, либо URL, конвертирующийся в UTF-8-строку. Про то, что имя файла может содержать невалидные UTF-8-последовательности, аффтар дено не слышал. А в ноде -- слышали. Как итог, если ты хочешь получить список файлов в папке, нода вернет список целиком, а дено вернет только те файлы, у которых имена -- UTF-8-валидные. Этого достаточно, чтобы заявить, что дено -- это лишь игрушка в компьютерном классе средней образовательной школы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #60, #61

59. Сообщение от голос_из_леса (ok), 29-Июл-25, 00:17	+/–
Хуже "mail.su"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

60. Сообщение от morphe (?), 29-Июл-25, 03:04	+/–
> В дено считается, > что имя файла -- это либо UTF-8-строка, либо URL, конвертирующийся в > UTF-8-строку. Да, это так. Как я и сказал, в deno ориентируются на web api при проентировании своих интерфейсов, а потому названия файлов должны быть валидными URL Я бы не сказал что это недостаток, у deno просто несколько иные цели. В Deno ты например можешь аналогично браузеру читать файлы в одной директории со скриптом через await fetch(new URL('file.txt', import.meta.url)). Так нельзя было бы поступать, если бы deno считал за валидные имена файлов что-то не URL-совместимое Было бы хуже если бы его апи поддерживали одновременно URL и Buffer TBH, потому что в этом случае потребовалось бы вводить непонятно работающие конверсии между этим всем. Однако deno также поддерживает node.js api, и через node.js api Buffer принимается, и невалидный utf8 обрабатывается аналогично ноде (т.е можно передать encoding функциям производящим пути. Deno однако я так понял только binary и utf-8 тут поддерживает, но если кому надо чот большее - поддержка nodejs api в Deno развивается и улучшается).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

61. Сообщение от morphe (?), 29-Июл-25, 03:10	+/–
BTW, просто интересно, как часто и где ты сталкиваешься с именами файлов что не utf-8 совместимые, и при этом с ними надо работать из JS? Звучит как очень странный кейс для не системного ЯП
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема