Es ist einfach nicht mehr lustig!
Letzte Woche hat das Paket
Node-IPC eine Dependency bekommen, die einfach mal nach Erkennung einer russischen IP des Nutzers Dateien von der Festplatte löscht und eine Datei auf dem Desktop anlegt, um gegen den Krieg zu demonstrieren.
Der Entwickler hat wohl nach „einigen“ Beschwerden, wohl auch von NGOs, ein
paar Pizzen und Besuch von der örtlichen Polizei bekommen. Natürlich hat er nicht in einem Commit die Abhängigkeiten entfernt, sondern einfach ein Force-Push auf den Master auf einen alten Git-Stand gemacht. Nicht, dass in 2 Jahren noch jemand weiß, was für einen Scheiß er gebaut hat.
Die Härte ist aber: Die Version 11 ist noch im NPM-Repository. Wahrscheinlich bekommt er das da nicht raus. Man hat also eine Malware in NPM, aber keinen Code mehr dazu. Freude!
weiterlesen »