Vulnerabilità ed exploit · Supply chain

npm mette fine alla fiducia predefinita negli script delle dipendenze

npm sta spostando l’esecuzione al momento dell’installazione da una fiducia automatica a un’approvazione esplicita. Questo cambia chi si assume il carico: ora i maintainer devono pre-verificare gli script legittimi, perché il percorso di installazione predefinito non li eseguirà più autonomamente.

5 fonti · 13 giu

Cronologia

• 13 giu Segnalato da SecurityWeek
• 12 giu Segnalato da Infosecurity Magazine
• 11 giu Segnalato da The Hacker News
• 10 giu Segnalato da BleepingComputer

Fonti

• 13 giu SecurityWeek

  NPM 12 Will Change Script Execution Behavior to Prevent Supply Chain Attacks

  By default, npm install will no longer execute scripts from dependencies, unless explicitly allowed.

  originale

• 12 giu Infosecurity Magazine

  GitHub to Update npm to Thwart Software Supply Chain Attacks

  NPM, part of GitHub, announced a new version of the npm package manager with several security improvements, including disabling install scripts

  originale

• 11 giu The Hacker News

  GitHub to Disable npm Install Scripts by Default to Stop Supply Chain Attacks

  npm 12 disables install scripts by default, requiring explicit approval to reduce dependency-based code execution risks.

  originale

Part of the PlainSec briefing for 2026-06-12

Every edition of this story: npm mette fine alla fiducia predefinita negli script delle dipendenze

Altro da oggi

• Le schede UPS diventano un rischio di controllo dell'alimentazione
• Credenziali condivise mettono le flotte Yarbo sotto un’unica chiave
• I Checkpoint di LangGraph, non gli agenti, sono l’anello debole