JFrog identifie plus de 450 packages compromis par Shai-Hulud

Introduction
JFrog Security Research a découvert une nouvelle variante du ver de la chaîne d’approvisionnement Shai‑Hulud, qui cible désormais l’écosystème npm.

Points clés
- L’infection débute via deux bibliothèques de mise en cache très répandues, cacheable et keyv, avant de se propager à plus de 450 packages npm populaires.
- Les packages compromis couvrent des projets critiques et des dépendances largement utilisées, augmentant le risque d’exécution de code malveillant dans les applications Node.js.
- JFrog a publié un avis détaillé et des recommandations de mitigation, incitant les développeurs à vérifier leurs dépendances, mettre à jour les versions affectées et surveiller les indicateurs de compromission.