items-validator и item-validator: три недели и шесть лет бездействуют, в то же утро помечены как вредоносное ПО.

Утром 19 октября 2026 года консультативная база данных GitHub проверила два пакета npm как вредоносное ПО: элементы-валидатор и item-validator — называет имена с разницей в одну букву, в той же партии рекомендаций. Посмотрел рядом в реестре, оказалось, что их два. различные модели цепочек поставок, носящие одно и то же название. Что на самом деле говорят рекомендации Оба короткие, и оба говорят одно и то же, одними и теми же словами: «Любой компьютер, на котором есть это установленный или запущенный пакет следует считать полностью скомпрометированным», с рекомендацией переверните каждый секрет на затронутой машине с другого компьютера и удалите пакет, предупреждая, что само по себе удаление может не очистить все, что оно уже сделало. Оба засекречены CWE-506, «Встроенный вредоносный код». Ни в одной из рекомендаций не описывается фактическая полезная нагрузка, не упоминается CVE, или ссылки на код — это стандартный шаблон рекомендаций по вредоносному ПО, который GitHub публикует, когда пакет извлекается, а не описание того, что он делает. Мы не будем гадать о механизме из два предложения; Далее следует то, что мы могли бы проверить сами, непосредственно по реестру. Одной упаковке три недели. Другой бездействует шесть лет. реестра