Charlie Eriksen

A conta de publicação do npm para o debug foi comprometida após um ataque de phishing em 8 de setembro de 2025. A versão 4.4.2 foi publicada com um payload malicioso projetado para redirecionar transações de criptomoedas dentro de ambientes de navegador. Ambientes que não utilizam o pacote em um contexto de navegador, como aplicações locais, de servidor ou de linha de comando, não são afetados. O malware tem como alvo especificamente transações de criptomoedas e carteiras como a MetaMask.

Pacotes do DuckDB distribuídos para Node.js no npm foram comprometidos com malware destinado a interferir em transações de criptomoedas. Um atacante publicou versões maliciosas de vários pacotes do DuckDB. O ataque envolveu uma campanha de phishing direcionada a administradores do DuckDB, levando ao comprometimento das credenciais do npm e à publicação de pacotes maliciosos. O atacante criou uma réplica convincente do site do npm para roubar credenciais.

A cross-site request forgery issue allows remote attackers to hijack user authentication for requests that add calendar entries.

The issue allows remote attackers to execute arbitrary code. This can be achieved via a YAML document in two parameters: the `namespace` parameter to the `deobfuscation` function or the `sourcemap` parameter to the `sourcemap` function, both located in the `app/controllers/api/v1 controller.rb` file.

A cross-site request forgery (CSRF) issue allows remote attackers to hijack the authentication of administrators for requests that manipulate plugin settings.

The issue is related to a cross-site request forgery (CSRF) vulnerability. This allows remote attackers to hijack the authentication of administrators for requests that deactivate a plugin. The exact vectors used for the attack are not specified.

The issue concerns the use of the pickle Python module in an unsafe manner by the renderLocalView function in render/views.py in graphite-web. This allows remote attackers to execute arbitrary code via a crafted serialized object.

A cross-site request forgery issue allows remote attackers to hijack the authentication of arbitrary users for requests that modify the plugin's settings.

A cross-site request forgery (CSRF) issue allows remote attackers to hijack the authentication of arbitrary users for requests that insert XSS sequences.

The issue is related to a cross-site scripting (XSS) vulnerability that allows remote attackers to inject arbitrary web script or HTML. This is achieved via the `callback` parameter.

A cross-site scripting issue allows remote attackers to inject arbitrary web script or HTML. This is achieved via the `callback` parameter in a `lostpassword` action to `wp-login.php`.