Ataque à cadeia de suprimentos do NPM ocorre novamente, @ctrl/tinycolor lança versão maliciosa

De acordo com ChainCatcher, o Scam Sniffer detectou mais um ataque direcionado à cadeia de suprimentos do NPM. A biblioteca @ctrl/tinycolor (com 2,2 milhões de downloads semanais) lançou uma versão maliciosa, que executa um programa de roubo de informações durante o script postinstall do npm para escanear e roubar dados sensíveis.

Essa carga maliciosa abusou da ferramenta legítima de varredura de informações sensíveis TruffleHog. Verifique se você baixou uma versão afetada, suspenda as operações de instalação/atualização e fixe a versão para uma conhecida como segura.