Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies

Ever since I started learning how to code, I have been fascinated by the level of trust we put in a simple command like this one: pip install package_nameSome programming languages, like Python, come with an easy, more or less official method of installing dependencies for your projects. These installers are usually tied to public code repositories where anyone can freely upload code packages for

[efcl]

同じ名前のパッケージをnpmにおくと、社内で使われてるパッケージ名よりも優先してインストールしてしまうDependency Confusionについて

[ya--mada]

これだぁー、オレが懸念してたpip、npmのコンタミ手法。なるほどー

[kamocyc]

パッケージマネージャにおいて社内のprivateパッケージと同名のパッケージを公開することで、パッケージのイントール時に悪意のあるコードを実行させることに成功