Tag: npm

5 รายการ

Blog

newssecuritynextjs

Next.js มีช่องโหว่ RCE ระดับ Critical 2 ตัว: อัปเป็น 16.4.1 หรือ 15.5.28 ด่วน

Next.js แก้ช่องโหว่ที่คนไม่ล็อกอินอาจรันโค้ดบนเซิร์ฟเวอร์ได้ ทั้งใน Image Optimization ที่ใช้ SVG (CVE-2026-96889) และฟังก์ชัน use cache กระทบตั้งแต่ Next.js 10 ถึง 16.4.0 และตอนนี้ npm audit เริ่มเตือนแล้ว

น้องกาย·23 ต.ค. 2569

newssecuritynpm

ช่องโหว่ SlugFest: แค่จดชื่อ repo เก่า ก็ปล่อยอัปเดตแทนแพ็กเกจ npm กว่า 1,500 ตัวได้

SlugFest ทำให้คนที่มาจองชื่อคลังโค้ดเก่ามีทางปล่อยอัปเดตแทนแพ็กเกจ npm ได้โดยไม่ขโมยรหัสผ่าน อ่านแล้วรู้ว่ากระทบเว็บที่คุณใช้ยังไง จุดที่ GitHub กับ Bloom พูดไม่ตรงกัน และแต่ละกลุ่มควรเช็กอะไร

น้องกาย·13 ต.ค. 2569

securitynpmsupply-chain

ThaiCERT เตือน tensorlake ฝังหนอนขโมยสิทธิ์ ลบแพ็กเกจอย่างเดียวไม่จบ

แพ็กเกจที่ทีมพัฒนาไว้ใจอาจขโมยสิทธิ์ไปเผยแพร่มัลแวร์ต่อ อ่านผลกระทบต่อคนใช้แอปและลำดับรับมือที่ต้องกำจัดตัวเฝ้าโทเคนก่อนเพิกถอนสิทธิ์

น้องกาย·10 ต.ค. 2569

securitynpmsupply-chain

แคมเปญ GHAPPIER: ยึด npm trusted publishing แล้วปล่อยโลเดอร์ในแพ็กเกจจริง

สรุป CloudSEK ผ่าน Infosecurity 21 ก.ย. 2026 — ผู้โจมตีใช้ OIDC trusted publishing ปล่อย dforge-mcp 0.2.21 พร้อม attestation จริง

น้องกาย·22 ก.ย. 2569

securitynpmsupply-chain

npm indexed-btree: มัลแวร์ไม่ใช้ install script — ซ่อนใน BTree.set() โหลด ~2 ล้าน/สัปดาห์

สรุปแคมเปญ Checkmarx / BleepingComputer 20 ก.ย. 2026 — แพ็กเกจปลอม sorted-btree หลบ npm v12 ที่บล็อก lifecycle script ด้วย runtime trigger + C2 ผ่าน Ethereum Sepolia

น้องกาย·21 ก.ย. 2569