Đang tải bảng tin…
StepSecurity1 Hot0 bình luận4 phút đọc
Compromised next Branch Pushes Malicious @asyncapi/generator, generator-helpers, and generator-components to npm
Tóm tắt bởi AI
Vào ngày 14/7/2026, ba package npm (@asyncapi/generator@3.3.1, @asyncapi/generator-helpers@1.1.1, @asyncapi/generator-components@0.7.1) bị tấn công, chứa mã độc ẩn dưới dạng dropper, kích hoạt khi package được tải chứ không phải lúc cài đặt. Kẻ tấn công lợi dụng quyền truy cập nhánh next trong GitHub Actions để đẩy mã độc thông qua quy trình CI/CD hợp pháp, tạo ra chứng chỉ provenance OIDC hợp lệ.
Vì sao nên đọc: Lập trình viên nên đọc bài này để hiểu cách tấn công CI/CD lây nhiễm thông qua quyền truy cập vào nhánh tiếp theo của dự án, khiến các package bị nhiễm malware vẫn được công bố hợp pháp trên npm mà không cần sử dụng token nhầm.
Bạn nhớ được gì?
Trả lời 3 câu hỏi ngắn để nhận điểm thưởng cho bài này. Chỉ làm khi bạn muốn lấy điểm.
tối đa +17 điểm
3 câu hỏi · dưới một phút · không bắt buộc
Nguồn: https://www.stepsecurity.io/blog/compromised-next-branch-pushes-malicious-asyncapi-generator-generator-helpers-and-generator-components-to-npm. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Hệ sinh thái 8 Sync Dev
Một tài khoản, cả hệ sinh thái
Đọc tin ở đây, luyện code, học theo lộ trình và luyện IELTS trên các sản phẩm anh em — tất cả kết nối với nhau trong hệ sinh thái 8 Sync Dev.
8syncdev.com
8syncdev.comCổng chính của hệ sinh thái: giới thiệu sản phẩm, blog và bảng giá trọn bộ.
Khám pháKhóa học
tutorial.8syncdev.comHọc theo lộ trình với video, quiz chấm tự động, certificate và mentor đang làm nghề.
Xem khóa họcLuyện code
coding.8syncdev.comLuyện thuật toán chấm tự động 7 ngôn ngữ, chạy code ngay trên trình duyệt.
Đề xuất cho bạn
Security Boulevard1 Hot4 phútAI
AI Security Incident Case: Ghostcommit Attack Leveraged Images to Steal Secrets
Vào ngày 11/7/2026, hai nhà nghiên cứu từ Đại học Missouri-Kansas City đã công bố kỹ thuật tấn công Ghostcommit, cho phép đánh cắp toàn bộ nội dung file .env của mục tiêu bằng cách lợi dụng hình ảnh (images) chứa mã độc.
Lập trình viên nên đọc bài này để hiểu cách Ghostcommit exploit lỗ hổng trong GitHub Actions, khi sử dụng ảnh để trích xuất thông tin nhạy cảm từ file .env—một kỹ thuật mới gây lo ngại về bảo mật trong các pipeline CI/CD.
