Đang tải bảng tin…
Socket0 Hot0 bình luận3 phút đọc
jscrambler npm Package Compromised in Supply Chain Attack
The jscrambler npm package version 8.14.0 was compromised in a supply chain attack published on July 11, 2026. The malicious release added an undocumented preinstall hook that automatically executes hidden native binaries for Linux, macOS, and Windows during npm install — before any application code runs. The binaries are embedded in an obfuscated CSI container. While static analysis did not reveal obvious C2, credential theft, or cryptomining behavior, the attack exposes developer workstations, CI environments, and build pipelines to potential access of source code, environment variables, and deployment secrets. Socket detected the compromised version 6 minutes after publication. Users are advised to remove 8.14.0, rotate credentials, and pin to 8.13.0 until a clean release is available.
Nguồn: https://socket.dev/blog/jscrambler-supply-chain-attack. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
Frontend Masters3 Hot1 phútAI
The Siren Song of ariaNotify() – Master.dev Blog
Phương thức mới ariaNotify() trong đặc tả WAI-ARIA 1.3 cho phép lập trình viên kích hoạt tường thuật từ trình đọc màn hình bằng một chuỗi văn bản đơn giản, thay thế các giải pháp phức tạp trước đây như aria-live. Tuy tiện lợi nhưng việc lạm dụng nó có thể gây hại cho khả năng truy cập, tương tự như cách alert() thường bị sử dụng sai mục đích.
Lập trình viên nên đọc bài này để hiểu cách sử dụng ariaNotify() một cách chính xác và tránh những rủi ro về tính khả dụng, đặc biệt là khi nó có thể trở thành một công cụ dễ dàng nhưng dễ gây nhầm lẫn và làm giảm chất lượng trải nghiệm cho người dùng có nhu cầu hỗ trợ kỹ thuật.
