JVNVU#96681018: Node.js のパッケージマネージャ npm が不正なパッケージの動作を制限しない問題

npm は、サーバサイドのウェブアプリケーションを開発するための実行環境である Node.js のパッケージマネージャです。npm には、ワームプログラムの感染拡大を許す問題が存在します： npm はセマンティックバージョニング (semver) の使用を推奨しています。セマンティックバージョニングでは、依存関係にあるパッケージのバージョンは固定されておらず、依存パッケージの作者は、自由にアップデートバージョンをプッシュできるようになっています。 npm は、npm サーバへのログイン状態を維持しています。ログインすると、手動で操作しない限りログアウトすることはありません。ログイン済みユーザが npm install コマンドを実行することで、新たなバージョンのパッケージを publish させられる可能性があります。 npm は、Node.js 環境で広く使われている集中型のレジストリを

[bouzuya]

例の npm install なワームの件が JVN に上がったぞい。

[munisystem]

強い意志を感じる