Minacce · 45 giorni fa
Socket ha trovato dieci release malevole di @7nohe/openapi-react-query-codegen pubblicate su npm in due ondate il 28 agosto 2026. L’ultimo tag punta ancora alla versione malevola 3.0.4, e tutte e dieci le release risultano ancora installabili.
Il punto debole non è npm in sé, ma il flusso di pubblicazione: un account GitHub non fidato ha potuto attivare un workflow legato a un commento e far uscire codice sotto l’identità di publishing del maintainer. Le attestazioni di provenance erano valide, ma il contenuto pubblicato era comunque malevolo.
Per chi consuma package via GitHub Actions trusted publishing o aggiornamenti automatici, la fiducia nel marchio di provenance non basta da sola. Il rischio resta che un artefatto apparentemente legittimo entri nella base di codice e durante l’installazione rubi credenziali cloud, registry, GitHub Actions e di agenti AI.
1 fonte che coprono questa storia
OpenAPI React Query Codegen Compromised in Mini Shai-Hulud npm Supply Chain Attack
Ten malicious OpenAPI React Query Codegen versions were published to npm in the Mini Shai-Hulud attack, all with valid provenance.
Part of the PlainSec briefing for 2026-08-31