Minacce · 131 giorni fa

Le revisioni delle dipendenze PHP non rilevano i payload all’installazione cross-ecosystem

Le revisioni di Composer possono apparire pulite e comunque non rilevare l’esecuzione di codice. La rottura sta nel fatto che il payload si trova in package.json, quindi i controlli delle dipendenze solo PHP non vedono un JavaScript postinstall hook che viene eseguito al momento della build.

Cronologia

• 22 mag Segnalato da Socket.dev

Fonti

1 fonte che coprono questa storia

• Socket.dev 22 mag

  Malicious Postinstall Hook Found Across 700+ GitHub Reposito...

  Socket found a malicious postinstall hook across 700+ GitHub repos, including PHP packages on Packagist and Node.js project repositories.

Part of the PlainSec briefing for 2026-05-23

Editions

• Briefing for 2026-05-23

Storie correlate

• Cloud Atlas Costruisce Percorsi Ridondanti Nelle Reti Governative
• Ghostwriter Aggiunge la Persistenza nel Registry ai Lure di Prometheus
• Le sequestri dei server mancano la rete core di THE.Hosting