Charlie Eriksen

تعرضت حساب النشر الخاص بـ debug على npm للاختراق عقب هجوم تصيد احتيالي وقع في 8 سبتمبر 2025. تم نشر الإصدار 4.4.2 مع حمولة خبيثة مصممة لإعادة توجيه معاملات العملات المشفرة داخل بيئات المتصفح. أما البيئات التي لا تستخدم الحزمة في سياق المتصفح، مثل التطبيقات المحلية أو تطبيقات الخادم أو تطبيقات سطر الأوامر، فهي غير متأثرة. تستهدف البرمجية الخبيثة على وجه التحديد معاملات العملات المشفرة والمحافظ مثل MetaMask.

تعرضت حزم DuckDB الموزعة لـ Node.js على npm للاختراق ببرمجيات خبيثة تهدف إلى التدخل في معاملات العملات المشفرة. نشر أحد المهاجمين إصدارات خبيثة من عدة حزم تابعة لـ DuckDB. تضمن الهجوم حملة تصيد موجهة إلى مسؤولي DuckDB، مما أدى إلى اختراق بيانات اعتماد npm ونشر الحزم الخبيثة. أنشأ المهاجم نسخة مقلدة مقنعة من موقع npm لسرقة بيانات الاعتماد.

A cross-site request forgery issue allows remote attackers to hijack user authentication for requests that add calendar entries.

The issue allows remote attackers to execute arbitrary code. This can be achieved via a YAML document in two parameters: the `namespace` parameter to the `deobfuscation` function or the `sourcemap` parameter to the `sourcemap` function, both located in the `app/controllers/api/v1 controller.rb` file.

A cross-site request forgery (CSRF) issue allows remote attackers to hijack the authentication of administrators for requests that manipulate plugin settings.

The issue is related to a cross-site request forgery (CSRF) vulnerability. This allows remote attackers to hijack the authentication of administrators for requests that deactivate a plugin. The exact vectors used for the attack are not specified.

The issue concerns the use of the pickle Python module in an unsafe manner by the renderLocalView function in render/views.py in graphite-web. This allows remote attackers to execute arbitrary code via a crafted serialized object.

A cross-site request forgery issue allows remote attackers to hijack the authentication of arbitrary users for requests that modify the plugin's settings.

A cross-site request forgery (CSRF) issue allows remote attackers to hijack the authentication of arbitrary users for requests that insert XSS sequences.

The issue is related to a cross-site scripting (XSS) vulnerability that allows remote attackers to inject arbitrary web script or HTML. This is achieved via the `callback` parameter.

A cross-site scripting issue allows remote attackers to inject arbitrary web script or HTML. This is achieved via the `callback` parameter in a `lostpassword` action to `wp-login.php`.