ドキュメントをご覧ください。他のパッケージマネージャにアップロードする次のようなシナリオを考えてみましょう。同じフォルダにコピーし、パッケージを公開します。新しいプロジェクトフォルダにインストールします。コードが実行されています。アドオンへの呼び出しが行われる可能性もあります。セキュリティモデル、あるいは他のパッケージレジストリは、インストールで要求したものは明示的に信頼するということを覚えておく必要があります。ハイジャックに慣れていない開発者は気づかない可能性があります。含むパッケージの脅威を検出するのは難しいです。ロードされないと考えるでしょう。この問題は修正されています。ユーザは、パッチが適用されたバージョンにアップグレードすることを強く推奨します。最近、多くのリポジトリにバイナリアーティファクトが含まれています。開発者は、ソースリポジトリやパッケージに含まれている場合、実行ファイルが直接使用されるケースが多いことを忘れてはいけません。開発者は、これらの実行可能ファイルのコードを簡単に見ることができませんし、場合によってはリポジトリで提供されないので、これらのアーティファクトの中には悪意のあるコードが含まれている可能性があります。ユーザの安全を確保するために、リポジトリやパッケージに実行可能ファイルを埋め込まないようにすることを強くお勧めします。最終的には、開発者がアプリケーションを構築する際に、どのようなオープンソースプロジェクトやパッケージを使用するかについて責任を持つことになります。そのため、サードパーティのコンポーネントには信頼できるソースを使用し、リポジトリやパッケージ内の疑わしいバイナリを含むソフトウェアのサプライチェーンの脅威を検出できるソリューションを使用して、環境を保護することが重要です。プログラムへ報告されました。この問題の調査を開始したという最初の応答がありました。セキュリティチームによって脆弱性が確認されました。7月7日のセキュリティリリースで脆弱性が修正されました。LABの情報を逃さずチェックしよう!メールアドレスを登録すると記事が投稿されるとメールで通知します。※登録後メールに記載しているリンクをクリックして認証してください。CNAPP:開発からクラウドへ、そして逆方向へ。LABの情報を逃さずチェックしよう!メールアドレスを登録すると記事が投稿されるとメールで通知します。※登録後メールに記載しているリンクをクリックして認証してください。