Um ataque de cadeia de suprimentos foi detectado no popular cliente HTTP Axios, após duas novas versões do pacote npm introduzirem uma dependência maliciosa. As versões 1.14.1 e 0.30.4 de Axios foram encontradas para injetar a dependência "plain-crypto-js" versão 4.2.1 como uma dependência falsa. As duas versões foram publicadas usando as credenciais npm comprometidas do principal Axios.
Detalhes Técnicos
Vulnerabilidade: Injeção de dependência maliciosa no pacote npm.
Impacto: Injeção de RAT (Remote Access Trojan) cross-plataforma.
Restrições: O ataque foi realizado através de uma conta npm comprometida, permitindo a injeção de dependência maliciosa em versões específicas do pacote Axios.
