Платформа GitHub оновила правила безпеки для механізму “trusted publishers” у реєстрі npm після виявлення вразливості, що загрожувала понад 1500 пакетам. Архітектурний недогляд виникав у випадках, коли репозиторій завантажувався, перейменовувався або видалявся, але зв’язок із trusted publisher залишався. Зловмисники могли заново створити репозиторій із колишньою назвою та отримати токен публікації чужого пакета.

Отримавши тимчасовий токен доступу, нападники могли впроваджувати шкідливий код безпосередньо в офіційні збірки бібліотек. Згідно з новими правилами, конфігурація довіреного видавця автоматично анулюється при зміні імені, передачі або видаленні репозиторію. GitHub закликає розробників перевірити поточні налаштування trusted publishers та видалити застарілі зв’язки.