I don't know what to say. · Issue #116 · dominictarr/event-stream · GitHub

What does it do: Other users have done some good analysis of what these payloads actually do. I don't know what to say. #116 (comment) I don't know what to say. #116 (comment) I don't know what to say. #116 (comment) What can I do: By this time fixes are being deployed and npm has yanked the malicious version. Ensure that the developer(s) of the package you are using are aware of this post. If you

[efcl]

`flatmap-stream@0.1.1`に`ps-tree`をターゲット?にした攻撃コードが含まれている問題についてのIssue。 `event-stream@3.3.6`になぜか`flatmap-stream@0.1.1`への依存が追加されていたため、かなり複雑な経路。 https://bit.ly/2DWg4iC

[t2wave]

event-streamというnpmパッケージに攻撃コードが混入された報告ISSUE

[amagitakayosi]

ひー、minifyしたコードを配布する場合はCIでminify結果が一致するかチェックすれば防げるけど、大変だなあ……

[causeless]

"@jingbay npm経由でまたマルウェアが配布された。 パッケージオーナーは知らない人にメンテナ権限を譲与。今では暗号通貨採掘が埋められた。npmサイドはマルウェア版を引き上…" via https://twitter.com/jingbay/status/1067151044029730816

[Nyoho]

security of npm

[ohbarye]

ownerがもはやメンテナンスしていないnpm libraryのpublish権限をhackerに与えてしまった可能性があり、さらにそれをnpm supportに連絡しないという振る舞いに批判的なコメントが並んでいる

[mysticatea]

なにこれ