eslint-plugin-security - ESLint-Regeln für Node-Sicherheit. Dieses Projekt hilft, potenzielle Sicherheitshotspots zu identifizieren, findet aber viele False Positives, die von einem Menschen geprüft werden müssen.
tslint-plugin-security - TSLint-Regeln für Node-Sicherheit. Dieses Projekt hilft, potenzielle Sicherheitshotspots zu identifizieren, findet aber viele False Positives, die von einem Menschen geprüft werden müssen.
safe-regex - Erkennt potenziell katastrophale exponentielle reguläre Ausdrücke, indem die Sternhöhe auf 1 begrenzt wird.
vuln-regex-detector - Dieses Modul ermöglicht es, einen regulären Ausdruck auf Schwachstellen zu prüfen. In JavaScript können reguläre Ausdrücke (Regex) „anfällig“ sein: anfällig für katastrophales Backtracking. Wenn deine Anwendung clientseitig verwendet wird, kann dies ein Leistungsproblem sein. Auf der Serverseite kann dies zu Regular Expression Denial of Service (REDOS) führen.
regolith - Regex-Bibliothek für TypeScript, entwickelt um ReDoS-Angriffe zu verhindern. Ich habe TypeScript-Bindungen für die Rust-Regex-Bibliothek erstellt, um Regular Expression Denial of Service-Angriffe zu verhindern.
git-secrets - Verhindert das Einchecken von Geheimnissen und Anmeldeinformationen in Git-Repositories.
DevSkim - DevSkim ist eine Reihe von IDE-Plugins und Regeln, die Sicherheits-„Linting“-Fähigkeiten bieten. Unterstützt auch die CLI, sodass es in CI/CD-Pipelines integriert werden kann.
ban-sensitive-files - Überprüft Dateinamen, die eingecheckt werden sollen, anhand einer Bibliothek von Dateinamenregeln, um die Speicherung sensibler Dateien in Git zu verhindern. Überprüft einige Dateien auf sensible Inhalte (z. B. authToken in einer .npmrc-Datei).
NodeJSScan - Ein statischer Sicherheitscode-Scanner für Node.js-Anwendungen. Inklusive übersichtlicher Benutzeroberfläche, die anzeigt, wo das Problem liegt und wie es behoben werden kann.
NodeSecure CLI - Node.js-CLI, die es ermöglicht, den Abhängigkeitsbaum eines bestimmten npm-Pakets oder eines Verzeichnisses eingehend zu analysieren.
Trust But Verify - TBV vergleicht ein npm-Paket mit seinem Quellrepository, um sicherzustellen, dass das resultierende Artefakt identisch ist.
lockfile-lint - Linten von Lockdateien für verbesserte Sicherheits- und Vertrauensrichtlinien, um frei von bösartigen Paketeinschleusungen und anderen unsicheren Konfigurationen zu bleiben.
pkgsign - Ein CLI-Tool zum Signieren und Verifizieren von npm- und yarn-Paketen.
semgrep - Open-Source, offline, einfach anpassbare statische Analyse für viele Sprachen. Einige andere in dieser Liste (NodeJSScan) verwenden semgrep als ihre Engine.
npm-scan - Ein erweiterbares, heuristikbasiertes Schwachstellen-Scan-Tool für installierte npm-Pakete.
js-x-ray - JavaScript- und Node.js-SAST-Scanner, der verschiedene bekannte bösartige Codemuster erkennen kann (unsichere Imports, unsichere Anweisungen, unsichere Regex, codierte Literale, minimierter und verschleierter Code).
cspscanner - CSP Scanner hilft Entwicklern und Sicherheitsexperten, die Content Security Policy (CSP) einer Website einfach zu überprüfen und zu bewerten.
eslint-plugin-anti-trojan-source - ESLint-Plugin zur Erkennung und Verhinderung von Trojan-Source-Angriffen in deiner Codebasis.
sdc-check - Kleines Tool, das dich über potenzielle Risiken in der Liste deiner Projektabhängigkeiten informiert.
fix-lockfile-integrity - Ein CLI-Tool zum Korrigieren eines schwachen Integritäts-Hashs (sha1) zu einem sichereren Integritäts-Hash (sha512) in deiner npm-Lockdatei.
Bearer - Ein CLI-Tool, um Sicherheits- und Datenschutzrisiken in deinem Code gemäß OWASP Top 10 zu finden und zu beheben.
GuardDog - GuardDog ist ein CLI-Tool zur Identifizierung bösartiger PyPI- und npm-Pakete.
repolyze - Analysiert ein Git-Quellcode-Repository auf Gesundheitsindikatoren und Projektvitalität.

npq - Installiere Pakete sicher mit npm oder yarn, indem sie als Teil deines Installationsprozesses geprüft werden.
snyk - Snyk hilft dir, bekannte Schwachstellen in Node.js-npm-, Ruby- und Java-Abhängigkeiten zu finden, zu beheben und zu überwachen, sowohl ad hoc als auch als Teil deines CI (Build)-Systems.
node-release-lines - Introspektions-API für Node.js-Release-Metadaten. Liefert Informationen über Release-Linien, deren relativen Status sowie Details zu jedem Release.
auditjs - Prüft eine NPM-package.json-Datei auf bekannte Schwachstellen unter Verwendung von OSSIndex.
npm-audit - Führt ein Sicherheitsaudit basierend auf deiner package.json mit npm durch.
npm-audit-resolver - Verwalte npm-audit-Ergebnisse, einschließlich der Möglichkeit, bestimmte Probleme auf klare und nachvollziehbare Weise zu ignorieren.
gammaray - Führt ein Sicherheitsaudit basierend auf deiner package.json unter Verwendung der Schwachstellendaten der Node.js Security Working Group durch.
patch-package - Ermöglicht App-Autoren, Fehlerbehebungen für npm-Abhängigkeiten (in node_modules) zu erstellen, ohne Forks zu erstellen oder auf zusammengeführte PRs zu warten, indem Patches erstellt und angewendet werden.
check-my-headers - Schnelle und einfache Möglichkeit, beliebige HTTP-Header zu überprüfen.
clawsearch-guard - Pre-Install-Sicherheitsprüfung für KI-Agenten-Fähigkeiten und npm-Pakete. Führt vor der Installation eine Vertrauensbewertung durch, um bösartige Muster, Datenerpressung und Prompt Injection zu erkennen.
is-website-vulnerable - Findet öffentlich bekannte Sicherheitslücken in den JavaScript-Bibliotheken der Frontend einer Website.
joi-security - Erkennt Sicherheitslücken in Joi-Validierungsschemata.
confused - Tool zur Überprüfung auf Dependency-Confusion-Schwachstellen in mehreren Paketverwaltungssystemen. Siehe Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies als Referenz für die Begründung dieses Tools.
nodejs-cve-checker - Ein einfaches Tool, das überprüft, ob CVEs nach einem Node.js-Sicherheitsrelease in der NVD veröffentlicht wurden.
zizmor - Statische Analyse für GitHub Actions und CI/CD-Workflows.
releaserun - Scannt Projektabhängigkeiten nach ausgelaufenen Laufzeiten, bekannten CVEs und Versionsgesundheitsnoten für über 300 Produkte.
CVE PoC Search - Durchsuche öffentliche GitHub-Proof-of-Concept-Repositories nach CVE-Kennung.

hijagger - Überprüft alle Maintainer aller npm- und PyPI-Pakete auf kaperbare Pakete durch Domain-Neuregistrierung.
snync - Mindert Sicherheitsbedenken bezüglich Dependency-Confusion-Lieferkettensicherheitsrisiken.
NopPP - No Prototype Pollution - Winziger Helfer, der vor Prototype-Pollution-Schwachstellen in deiner Anwendung schützt, unabhängig davon, ob sie in deinem eigenen Code oder in Drittanbieter-Code eingeführt wurden.
anti-trojan-source - Erkennt Trojan-Source-Angriffe, die Unicode-Bidi-Angriffe nutzen, um bösartigen Code einzuschleusen.
express-limiter - Rate-Limiting-Middleware für Express-Anwendungen, die auf Redis basiert.
limits - Einfache Express/Connect-Middleware zum Festlegen von Upload-Größenbeschränkungen, Anforderungs-Timeout usw.
rate-limiter-flexible - Schneller, flexibler und freundlicher Rate-Limiter nach Schlüssel und Schutz vor DDoS- und Brute-Force-Angriffen im Prozessspeicher, Cluster, Redis, MongoDB, MySQL, PostgreSQL in jeder Größenordnung. Beispiele für Express und Koa enthalten.
tor-detect-middleware - Tor-Erkennungs-Middleware für Express
express-enforces-ssl - Erzwingt SSL für Express-basierte Node.js-Projekte. Es wird jedoch dringend empfohlen, SSL und globale HTTP-Regeln in einem Front-Proxy zu handhaben.
bourne - JSON.parse()-Drop-in-Ersatz mit Prototype-Poisoning-Schutz.
sigcli - Authentifizierungsschicht für KI-Agenten. Lokaler MITM-Proxy auf 127.0.0.1 fängt HTTPS ab und injiziert Anmeldeinformationen (Cookies, Bearer-Tokens, benutzerdefinierte Header) transparent – KI-Agenten authentifizieren sich, ohne jemals Geheimnisse zu sehen. AES-256-GCM-verschlüsselter Speicher, Browser-SSO, 4 Authentifizierungsstrategien.
fastify-rate-limit - Ein Rate-Limiter mit geringem Overhead für deine Routen.
secure-json-parse - JSON.parse()-Drop-in-Ersatz mit Prototype-Poisoning-Schutz.
express-brute - Eine Brute-Force-Schutz-Middleware für Express-Routen, die eingehende Anfragen drosselt und die Verzögerung bei jeder Anfrage in einer fibonacci-ähnlichen Sequenz erhöht.
allowed-scripts - Führe erlaubte npm install-Lifecycle-Skripte aus.
ses - Ein Shim für gehärtetes JavaScript, einen Sprachmodus, der Prototype-Pollution-Angriffe abschwächt und das sichere Einschränken mehrerer Mandanten in einer einzigen JavaScript-Umgebung unterstützt, wobei jeder mit gehärteten API-Objekten ausgestattet wird.
lavamoat - Mildert Lieferkettenangriffe durch Verwendung von ses, um Drittanbieter-Abhängigkeiten einzuschränken und ihren Zugriff auf Host-Funktionen basierend auf Richtlinien zu begrenzen, die durch Trust-on-First-Use-Statikanalyse generiert werden.
moddable - Implementiert gehärtetes JavaScript als Sicherheitsmodell für eingebettete Systeme.
is-my-node-vulnerable - Paket, das überprüft, ob deine Node.js-Installation anfällig für bekannte Sicherheitslücken ist.
@lavamoat/preinstall-always-fail - npm-Paket, um zu überprüfen, ob Preinstall- oder Postinstall-Skripte in deinen npm- oder yarn-Workflows ausgeführt werden.
FCaptcha - Selbst gehostetes CAPTCHA mit Verhaltensanalyse, das Bots, visuelle KI-Agenten und headless Browser erkennt. Enthält Node.js-Server mit SHA-256 Proof of Work.
are-scripts-enabled - npm-Paket, um zu überprüfen, ob Preinstall- oder Postinstall-Skripte in deinen npm- oder yarn-Workflows ausgeführt werden.
@w-r-l/verify - Überprüft die kryptografische Integrität von WACZ-Webarchiv-Bundles. Prüft Ed25519-Signaturen und RFC 3161-Zeitstempel.
pompelmi - Lokal-first Datei-Upload-Scanning für Node.js, um nicht vertrauenswürdige Dateien vor dem Speichern zu überprüfen.
verifyfetch - SRI-basierte Integritätsüberprüfung und fortsetzbare Downloads für große Dateien. Schützt vor CDN-Kompromittierung und Lieferkettenangriffen im Browser.

Sammlung von Sicherheitsvorfällen, die in den Node.js-, JavaScript- und npm-bezogenen Gemeinschaften aufgetreten sind, mit unterstützenden Artikeln:| Datum | Name | Referenzlinks | |-------------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 2026 May 11 | TanStack NPM-Pakete durch Shai-Hulud-Kampagne kompromittiert | Snyk, StepSecurity, Socket | 2026 Apr 29 | Bun-basierter Stealer trifft SAP @cap-js NPM-Paket | Snyk | 2026 Mar 31 | Axios NPM-Paket kompromittiert: Supply-Chain-Angriff liefert plattformübergreifenden RAT | Snyk, Axios Post-Mortem auf GitHub Issue, Mandiant-Bericht über Beteiligung von UNC1069 am Axios-Kompromittierung | 2025 Sep 25 | Bösartiger MCP-Server auf npm postmark-mcp erntet E-Mails | Snyk | 2025 Sep 15 | Shai-Hulud NPM-Paket-Malware | Snyk, ReversingLabs, Aikido | 2025 Sep 8 | Qix-Maintainer durch Phishing-Kampagne kompromittiert, führt zu Malware in debug chalk und vielen anderen Paketen | Snyk | 2025 Aug 27 | Nx-Paket: Bösartige Version kompromittiert und KI-Coding-Tools als Waffe für LLM und Agenten | Snyk | 2025 Jul 25 | Toptal-Pakete wurden kompromittiert, was zu GitHub-Token-Diebstahl und Zerstörung von Systemen führte | Arstechnica | 2025 Jul 19 | ESLint Config Prettier-Maintainer wurden kompromittiert, verbreiten Malware und infizieren auch andere Maintainer | Snyk, Socket, Safedep | 2025 Jun 25 | BeaverTail: Nordkoreanische Gruppe veröffentlicht 35 NPM-Malware-Pakete | Socket | 2025 Jun 12 | NPM-Paket @react-native-aria/focus und andere @react-native-area-Namespace-Pakete wurden als bösartig befunden | Aikido, Bleeping Computer | 2025 May 15 | Das NPM-Paket os-info-checker-es6 nutzt Unicode-Steganografie in Google Kalender als Command-and-Control | Veracode | 2025 May 8 | Paket rand-user-agent mit 45.000 Downloads in Supply-Chain-Angriff für bösartigen RAT kompromittiert | Aikido | 2025 May 7 | Bösartige NPM-Pakete infizieren über 3.200 Cursor-Benutzer mit Hintertür | Socket | 2025 May 2 | Typosquatting populärer .NET-, Python- und anderer Paketnamen | Socket | 2025 Apr 15 | Russische Hacker typosquatten express-exp | Safety | 2025 Apr 10 | Bösartiges NPM-Paket pdf-to-office | ReversingLabs | 2025 Apr 5 | Nordkoreanische Hacker setzen BeaverTail-Malware über 11 bösartige NPM-Pakete ein | socket | 2025 Mar 26 | Bösartige Pakete ethers-provider2 und ethers-providerz | ReversingLabs | 2025 Mar 11 | Nordkoreanische Lazarus-Gruppe zielt auf NPM-Pakete is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency und auth-validator ab | socket | 2025 Feb 26 | Bösartiger Code in NPM-Paketen versteckt | cycode | 2025 Jan 14 | npm-Befehlsverwirrung | Checkmarx | 2025 Jan 13 | Typosquattierte Pakete für Chalk und Chokidar beherbergen Hintertür-Trojaner | socket | 2024 Dec 20 | @rspack/core und @rspack/cli mit 400.000 wöchentlichen Downloads wurden durch NPM-Token-Diebstahl kompromittiert und zur Veröffentlichung bösartiger Pakete für Monero-Kryptowährungs-Mining verwendet | rspack-Veröffentlichungshinweise, sonatype, Socket | 2024 Dec 11 | Bösartiges NPM-Paket @typescript-eslint/eslint-plugin exfiltriert Daten in Typosquatting-Angriff | Socket | 2024 Dec 3 | Supply-Chain-Angriff in Solanas web3.js-Bibliothek @solana/web3.js erkannt | Socket | 2024 Nov 12 | "node-request-ip", "request-ip-check" und "request-ip-validator" sind gefälschte IP-Prüfprogramme auf npm, die auf Kryptowährungen abzielen und Trojaner installieren | sonatype | 2024 Oct 31 | Lottie-Player-NPM-Paket für Krypto-Wallet-Diebstahl kompromittiert | Snyk | 2024 Oct 31 | Typosquat-Kampagne zielt auf Puppeteer, Bignum.js und etwa 137 andere Kryptowährungsbibliotheken ab | Phylum | 2024 Oct 28 | Abhängigkeitsverwirrungs-Kampagne, die in einer npm-Supply-Chain-Sicherheit verwendet wird, um ein Fortune-500-Unternehmen zu kompromittieren | https://www.landh.tech/blog/20241028-hidden-supply-chain-links/ | 2024 Oct 4 | lodasher, them4on, laodasher gefälschte NPM-Pakete, die darauf abzielen, Windows-Benutzer mit einer modifizierten AnyDesk-Binärdatei zu hinterlegen | Sonatype | 2024 Jul 16 | string-width-cjs und andere: Verdächtiger Maintainer enthüllt Fäden des npm-Supply-Chain-Angriffs | Snyk | 2024 Jul 11 | noblox-ts Starjacking und QuasarRAT auf npm | stacklok | 2024 Jun 17 | ua-parser-js wechselt zu AGPL+kommerziell in einem „Rug-Pull“-Schritt | Adventures in Nodeland | 2024 Jun 11 | Das NPM-Paket cors-parser verbirgt plattformübergreifende Hintertür in PNG-Dateien | Sonatype | 2024 Jun 03 | npm-Registry-Cache-Vergiftungsangriff | landh.tech | 2024 Apr 26 | Gefälschte Vorstellungsgespräche zielen auf Entwickler mit neuer Python-Hintertür ab | Bleeping Computer | 2024 Apr 16 | Tea-Token und Entwickler missbrauchen OSS-Infrastruktur zur Monetarisierung | Sonatype | 2024 Feb 6 | Bösartiges NPM-Paket noblox.js-proxy-server tarnt sich als Noblox.js, zielt auf Roblox-Benutzer ab, um Daten zu stehlen | Socket | 2024 Jan 25 | npm mit 748 Paketen überschwemmt, die Filme speichern | Sonatype | 2024 Jan 3 | Ein everything-Paket mit registrierungsweiten Abhängigkeiten verhindert, dass Pakete zurückgezogen werden können | SC Media | 2023 Dec 14 | Ledger-Supply-Chain-Sicherheitsangriff führt Krypto-Drainer-Malware ein (@ledgerhq/connect-kit) | Sonatype, Tweets 1 2 3 4 5 6 7 8 | 2023 Sep 27 | Gefälschte Dependabot-Commits stehlen GitHub-Tokens und injizieren Malware in JavaScript-Dateien | Checkmarx | 2023 Jun 27 | Manifest Confusion – ein neu öffentlich gemachter Fehler im npm-Paketmanager, der Inkonsistenz der Paketmetadaten zeigt | Darcy Clarke's blog | 2023 Jun 23 | Nordkoreanische Angreifer nutzen Social Engineering und Supply-Chain-Angriffe auf npm aus | Phylum | 2023 Jun 15 | Supply-Chain-Angriff nutzt verlassene S3-Buckets aus, um schädliche Binärdateien für bignum NPM-Paket zu verteilen | The Hacker News, Checkmarx | 2023 Jun 06 | Von ChatGPT empfohlene Pakete könnten für Supply-Chain-Sicherheitsangriffsvektoren ausgenutzt werden | Vulcan | 2023 Feb 16 | Forscher kapern populäres NPM-Paket mit Millionen von Downloads | Illustria on The Hacker News | 2023 Feb 10 | Forscher decken verschleierten bösartigen Code in PyPI-Python-Paketen auf, auch Beweise aus dem npm-Ökosystem | The Hacker News | 2023 Jan 29 | Phylum identifiziert 137 bösartige npm-Pakete | phylum | 2022 Nov 29 | Unsichtbare npm-Malware könnte sich in maßgeschneiderten Versionen verstecken und die Sicherheitsprüfungen von npm audit umgehen | JFrog | 2022 Nov 24 | Phylum-Team erfasst erfasst bösartiges npm-Paket imagecompress-mini, das vorgibt, ein Bildkomprimierungstool zu sein | Louisw Lang on Twitter | 2022 Oct 12 | Aqua Security entdeckt Schwachstelle in npm, die die Offenlegung privat gehosteter npm-Pakete in der Registry ermöglicht | Aqua | 2022 Oct 07 | LofyGang verteilte ~200 bösartige NPM-Pakete, um Kreditkartendaten zu stehlen | TheHackerNews | 2022 Sep 23 | Die beliebte Kryptowährungsbörse dYdX hatte ihr NPM-Konto gehackt | Mend | 2022 Jul 29 | Bösartige Pakete small-sm, pern-valids, lifeculer und proc-title zielen auf den Diebstahl von Kreditkarteninformationen und Discord-Token ab | darkreading | 2022 May 26 | Gestohlene oAuth-GitHub-Token führten zu npm-Sicherheitsverletzung, kompromittierten Benutzerkonten-Metadaten, privaten Paketen und Klartext-Passwörtern in Protokollen | GitHub | 2022 May 24 | Bösartige npm-Pakete nutzen Dependency-Confusion-Angriffe aus | Snyk, Snyk | 2022 May 23 | npm-Pakete aufgrund abgelaufener Domains gekapert | TheRegister | 2022 Apr 05 | Neue npm-Schwachstellen ermöglichen Angreifern, Pakete besser für Kontoübernahmen ins Visier zu nehmen | Aqua | 2022 Apr 26 | npm-Paket-Pflanzung | Aqua, The Hacker News | 2022 Mar 31 | Weitere Protestware von styled-components | Checkmarx Security blog | 2022 Mar 18 | Weitere Protestware von es5-ext und event-source-pollyfill | Snyk-Hinweis für event-source-pollyfill, es5-ext-Commit, ArsTechnica | | 2022 March 16 | Das Modul peacenotwar sabotiert npm-Entwickler im Paket node-ipc, um gegen die Invasion der Ukraine zu protestieren | Snyk-Blog, Darkreading, SC Magazine | | 2022 Mar 7 | Bösartige Pakete beim Exfiltrieren von Daten über legitime Webhook-Dienste erwischt | Checkmarx Security blog | | 2022 Feb 22 | 25 bösartige JavaScript-Bibliotheken aufgrund von Typosquatting-Angriffen | TheHackerNews | | 2022 Feb 11 | 2.818 npm-Konten verwenden E-Mail-Adressen mit abgelaufenen Domains | TheRecord | | 2021 Dec 08 | 17 JavaScript-Bibliotheken enthielten bösartigen Code, um Discord-Zugriffstoken und Umgebungsvariablen von Computern der Benutzer zu sammeln und zu stehlen – | TheRecord | | 2021 December 01 | Der Bladabindi-Trojaner und RAT-Malware | Sonatype | | 2021 November 04 | Pakete coa und rc – Die beliebte npm-Bibliothek 'coa' wurde heute mit injiziertem bösartigem Code gekapert, was vorübergehend React-Pipelines weltweit beeinträchtigte | Bleepingcomputer, the record, npm-Tweet, npm-Tweet für rc. | | 2021 October 27 | noblox.js-proxy und noblox.js – typosquattiertes npm-Paket, das Benutzer des offiziellen Roblox-API- und SDK-npm-Pakets (noblox.js) angreift | the register | | 2021 October 22 | ua-parser-js – Versionen eines beliebten NPM-Pakets namens ua-parser-js wurden mit bösartigem Code gefunden | Cybersecurity and Infrastructure Security Agency (CISA), GitHub-Issue, IOCs, portswigger, theregister | | 2021 September 02 | pac-resolver – kann Bedrohungsakteuren im lokalen Netzwerk ermöglichen, willkürlichen Code in Ihrem Node.js-Prozess auszuführen, wann immer dieser versucht, eine HTTP-Anfrage zu stellen | arstechnica.com | | 2021 August 07 | Der npm-Paketbesitzprozess schlägt zurück und offenbart potenzielle Vektoren für Supply-Chain-Sicherheitsrisiken. | Twitter | | 2021 April 13 | Neue Linux-, macOS-Malware versteckt in gefälschtem Browserify-NPM-Paket: web-browserify | Bleepingcomputer. | | 2020 December 02 | jdb.js - db-json.js – bösartige npm-Pakete beim Installieren von Remote-Access-Trojanern erwischt. | zdnet.com, Bleepingcomputer. | | 2020 November 09 | discord bösartiges npm-Paket – npm-Paket beim Stehlen sensibler Discord- und Browserdateien erwischt | sonatype, zdnet. | | 2020 November 03 | twilio-npm – bösartiges npm-Paket öffnet Hintertüren auf den Computern von Programmierern. | zdnet | | 2020 August 29 | fallguys – bösartiges Paket stiehlt sensible Dateien. | zdnet | | 2020 April 27 | is-promise – One-Liner-Bibliothek zerstört ein Ökosystem. | Forbes Lindesay - Maintainer post-mortem, snyks Post-Mortem | | 2019 August 22 | bb-builder – bösartiges Paket, das auf Windows-Systeme abzielt, um Informationen zu exfiltrieren und an einen entfernten Dienst zu senden. | Snyk, Reversing Labs, Bleeping Computer | | 2019 June 05 | EasyDEX-GUI – bösartiger Code im npm-Paket event-stream gefunden. | npm, snyk, komodo announcement | | 2018 November 27 | event-stream – bösartiger Code im npm-Paket event-stream gefunden. | GitHub-Issue snyk, snyks Post-Mortem, schneid, intrinsic, npm, jayden, hillel wayne's postmortem | | 2018 July 12 | eslint – bösartige Pakete in den npm-Paketen eslint-scope und eslint-config-eslint gefunden. | GitHub-Issue, eslint-Tweet, eslints Post-Mortem, nodesources Post-Mortem, npm-Erklärung | | 2018 May 02 | getcookies – bösartiges Paket getcookies wird in übergeordnete express-bezogene Pakete eingebettet. | GitHub issue, npm, bleepingcomputer.com, Snyk’s getcookies vulnerability page, Hacker News | | 2018 Feb 13 | Maintainer-Konto mit Zugriff auf das conventional-changelog npm-Paket kompromittiert und veröffentlichte Malware für 1 Tag und 11 Stunden | conventional-changelog repository update | 2017 August 02 | crossenv – bösartiges Typosquatting-Paket crossenv stiehlt Umgebungsvariablen. | CJ blog on typosquat packages, Typosquatting research paper, bleepingcomputer.com, Snyk’s crossenv vulnerability page, Hacker News | | 2016 March 22 | left-pad – wie ein Entwickler Node, Babel und Tausende von Projekten mit 11 Zeilen JavaScript kaputtmachte. | left-pad.io, The Register, qurtaz. |Follow-up notes:

awesome-nodejs-security

Beliebteste

Werkzeuge

Härtung von Web-Frameworks

GitHub Actions und CI/CD-Sicherheit

Statische Code-Analyse

Dynamische Sicherheitstests von Anwendungen

Eingabevalidierung & Ausgabekodierung

Sichere Komposition

CSRF

Schwachstellen und Sicherheitshinweise

Sicherheitshärtung

Datenquellen

Sicherheitsvorfälle

Protestware-LieferkettensicherheitsproblemeIm Folgenden finden Sie eine Liste bekannter Protestware, die sich auch über andere Ökosysteme erstreckt:

npm- und JavaScript-spezifische Sicherheitsvorfälle und Lieferketten-Sicherheitsprobleme

Bildung

Artikel

Forschungsarbeiten

Bücher

Roadmaps

Unternehmen

Hacking-Übungsplätze

Mitwirken

License