Последние новости: JavaScript

Исследователи обнаружили 13 вредоносных пакетов с темами для PHP-сайтов в Packagist, которые превращали сайты с фильмами и комиксами в площадки для атак на владельцев iPhone. Пользователю не требовалось устанавливать приложение или скачивать подозрительный файл: на уязвимом устройстве цепочка запускалась после …

Команда Next.js выпустила обновления 15.5.21 и 16.2.11, закрывающие девять уязвимостей в серверной части фреймворка. Четыре проблемы получили высокий уровень опасности, ещё пять — средний. Ошибки позволяют отправлять запросы во внутренние сети, обходить проверку доступа в отдельных конфигурациях, перегружать процессор и …

Пользователь открывает «PDF», Windows запускает PowerShell, а полезная нагрузка приходит с Blogspot

Разработчик открывает проект — и заражает свою рабочую машину. PolinRider маскирует вредоносный код под обычные зависимости и конфиги

В экосистеме npm зафиксировали крупную атаку на цепочку поставки программного обеспечения. Под удар попали пакеты Mastra — открытого TypeScript-фреймворка для разработки ИИ-агентов, рабочих процессов и приложений с большими языковыми моделями. Злоумышленники добавили в пакеты зависимость easy-day-js, которая маскировалась под популярную …

Chrome, Edge и Brave под риском: баг Background Fetch держит JavaScript живым после закрытия браузера

Многолетняя фишинговая кампания Operation HookedWing затронула более 500 организаций и привела к краже свыше 2000 учётных данных. Атака работала с 2022 года и била по авиации, энергетике, госсектору, критической инфраструктуре, логистике, финансам и ИТ. Злоумышленники использовали ссылки на GitHub Pages …

Группа HeartlessSoul сместила интерес к геоинформационным данным российских организаций. Целями стали государственные структуры, промышленные предприятия, компании из сферы авиационных систем и отдельные пользователи. Заражение идёт через фишинговые письма, вредоносные установщики и поддельные сайты с авиационным ПО, а финальная нагрузка — …

В Adobe Reader нашли активно эксплуатируемую уязвимость: обновление уже вышло

Фальшивый пакет для Gemini оказался ловушкой: у разработчиков крали токены и файлы. Через поддельный npm-пакет злоумышленники добрались до Claude, Cursor и кошельков

ZAP добавил PTK для Firefox, Chrome и Edge: браузерное тестирование безопасности упростили

Популярная JavaScript-библиотека axios оказалась в центре серьезного инцидента с цепочкой поставок ПО (supply chain attack). Исследователи StepSecurity сообщили, что в npm были опубликованы две вредоносные версии пакета, axios@1.14.1 и axios@0.30.4.

Исследователи обнаружили в npm кампанию CanisterWorm: вредоносный код запускается через postinstall, крадёт npm-токены, закрепляется в Linux через systemd и публикует заражённые версии других пакетов.

Самораспространяющийся JavaScript-червь поразил проекты Wikimedia Foundation 5 марта. За 23 минуты он изменил 3996 страниц и перезаписал скрипты 85 редакторов. Вредоносный код хранился в русской Википедии с 2024 года — его случайно активировал инженер фонда во время проверки.