GitLab discovers widespread NPM supply chain attack

No post summary.

Критика NPM и GitHub за слабую модерацию репозиториев, позволяющую вредоносные пакеты с кражей credentials и скриптами на установке.
NPM уязвимее Python/Java из-за множества зависимостей, слабых границ безопасности и отсутствия sandbox по умолчанию.
Рекомендации: ротация токенов/npm PATs, использование pnpm/bubblewrap/sandbox, хранение секретов в locker.
Предложения: публичная идентификация разработчиков, code signing, SBOM для снижения рисков.
Спекуляции об атаках из Китая, России, Ирана, КНДР, Индии; призыв к фокусу на практиках, а не геополитике.