perplexityai/bumblebeeकेवल-पढ़ने योग्य डेवलपर एंडपॉइंट स्कैनर जो डिस्क पर स्थित पैकेज, एक्सटेंशन और डेवलपर-टूल मेटाडेटा को स्कैन करता है, जो ज्ञात सॉफ्टवेयर आपूर्ति-श्रृंखला समझौतों के संपर्क की जांच करने के लिए बनाया गया है।
हाल के आपूर्ति-श्रृंखला अभियानों के लिए अनुरक्षित जोखिम कैटलॉग, जो सार्वजनिक खतरा-खुफिया रिपोर्टिंग से Perplexity Computer के साथ बनाए गए हैं और नए अभियानों की रिपोर्ट होने पर PRs के माध्यम से अद्यतन किए जाते हैं।
--exposure-catalog <path> के साथ स्कैन को एक कैटलॉग पास करें। उत्पादन में
उपयोग से पहले वर्तमान सलाहों के विरुद्ध प्रविष्टियों की समीक्षा करें।
| फ़ाइल | कैंपेन | स्रोत |
|---|---|---|
tensorlake-2026-10-08.json | tensorlake का ChainDrop / Shai-Hulud npm सप्लाई-चेन समझौता (1 दुर्भावनापूर्ण संस्करण, 0.5.144, 2026-10-08 को प्रकाशित; preinstall हुक अस्पष्ट lib/setup.mjs लोडर और lib/Math_Symbol.js क्रेडेंशियल-चोरी, स्व-प्रसारित वर्म पेलोड चलाता है) | Socket, 2026-10-08 |
memtensor-2026-09-23.json | MemTensor npm और PyPI क्रेडेंशियल-चोर समझौता (2 पैकेज / 4 दुर्भावनापूर्ण संस्करण) | Socket, 2026-09-23 |
openapi-react-query-codegen-2026-08-28.json | @7nohe/openapi-react-query-codegen का Mini Shai-Hulud npm सप्लाई-चेन समझौता (2026-08-28 को टिप्पणी-ट्रिगर GitHub Actions प्रकाशन वर्कफ़्लो के माध्यम से प्रत्येक अनुरक्षित रिलीज़ लाइन में प्रकाशित 10 दुर्भावनापूर्ण संस्करण; अस्पष्ट binding.gyp/preinstall लोडर क्लाउड, npm, GitHub Actions और AI एजेंट रहस्यों को स्व-प्रसार के साथ लक्षित करता है) | Socket, 2026-08-28 |
mastra-2026-06-17.json | Mastra npm सप्लाई-चेन समझौता (@mastra/* के साथ-साथ create-mastra और [email protected] टाइपोस्क्वाट निर्भरता में 141 पैकेज / 141 संस्करण, जिसने postinstall के माध्यम से क्रॉस-प्लेटफ़ॉर्म इन्फोस्टीलर वितरित किया) | Socket, 2026-06-17 |
mini-shai-hulud-leoplatform-2026-06-24.json | Mini Shai-Hulud / Miasma (Hades वेरिएंट) LeoPlatform/RStreams लहर (समझौता किया गया czirker npm खाता; 26 npm पैकेज + 1 Go मॉड्यूल / 27 संस्करण; "Phantom Gyp" binding.gyp इंस्टॉल हुक, Bun-स्टेज्ड इन्फोस्टीलर, "Alright Lets See If This Works" डेड-ड्रॉप मार्कर) | Socket, 2026-06-24; OX Security, 2026-06-24 |
mini-shai-hulud.json | Mini/Shai-Hulud मई 2026 npm और PyPI समझौता (OX Security प्रभावित-पैकेज तालिका) | Fleet, Socket, Snyk, Mistral, TanStack, The Hacker News के विरुद्ध क्रॉस-चेक किया गया |
mini-shai-hulud-redhat-cloud-services.json | Red Hat Cloud Services (@redhat-cloud-services) npm पैकेजों का Mini Shai-Hulud समझौता (32 पैकेज / 95 संस्करण; "Miasma: The Spreading Blight" वर्म मार्कर) | Socket, 2026-06-01 |
laravel-lang-2026-05-23.json | laravel-lang/lang, laravel-lang/http-statuses, laravel-lang/attributes, और laravel-lang/actions में Laravel Lang Composer/Packagist सप्लाई-चेन समझौता | Socket, 2026-05-23 |
nx-console-vscode-2026-05-18.json | Nx Console VS Code एक्सटेंशन (nrwl.angular-console 18.95.0) का समझौता, 2026-05-18 को VS Code Marketplace पर प्रकाशित (OpenVSX अप्रभावित; 18.100.0+ में उपचारित) | StepSecurity, 2026-05-18 |
antv-mini-shai-hulud.json | AntV / Mini Shai-Hulud मई 2026 npm वर्म लहर (npm और PyPI में 324 पैकेज / 643 संस्करण; 2026-05-13 को या उसके बाद पाई गई आर्टिफ़ैक्ट्स तक सीमित) | Socket, 2026-05-19 |
node-ipc-credential-stealer.json | node-ipc npm 2026-05 क्रेडेंशियल-चोर समझौता (7 दुर्भावनापूर्ण संस्करण) | Socket, 2026-05-14 |
shopsprint-decimal-typosquat.json | Go github.com/shopsprint/decimal v1.3.3 टाइपोस्क्वाट, DNS TXT बैकडोर के साथ | Socket, 2026-05-19 |
gemstuffer.json | GemStuffer RubyGems एक्सफ़िल्ट्रेशन अभियान (123 gems / 155 संस्करण), जो UK स्थानीय सरकार को लक्षित करता है | Socket, 2026-05-13 |
glassworm.json | Open VSX / VS Code पर GlassWorm स्व-प्रसारित IDE-एक्सटेंशन वर्म (अदृश्य-Unicode लोडर, ट्रांज़िटिव extensionPack/Dependencies डिलीवरी, Solana memo C2, क्रेडेंशियल/वॉलेट चोरी); 243 editor-extension पैकेज / 381 संस्करण + 2 npm पैकेज / 2 संस्करण (245 प्रविष्टियाँ / 383 संस्करण) | Socket GlassWorm v2 अभियान CSV और Socket ट्रांज़िटिव रिपोर्ट, 2026-03-13; पूरक जानकारी Koi Security, 2025-10-18, Checkmarx, 2026-03, और Sonatype, 2026-03-17 से |
trapdoor-crypto-stealer.json | TrapDoor Crypto Stealer, npm, PyPI, और Cargo/Crates.io में क्रॉस-इकोसिस्टम क्रेडेंशियल/वॉलेट स्टीलर (28 npm/PyPI प्रविष्टियाँ / 378 संस्करण; 6 Cargo पैकेज _cargo_packages के अंतर्गत प्रलेखित, Cargo समर्थन आने तक मिलान नहीं हुआ) | Socket, 2026-05-24 |
tools/osvcatalog एक स्थानीय OSV स्नैपशॉट को ऑफ़लाइन रूप से
कैटलॉग में परिवर्तित करता है। Bumblebee स्कैन के समय कभी भी osv.dev को क्वेरी नहीं करता है। केवल
दुर्भावनापूर्ण-पैकेज रिकॉर्ड (MAL- आईडी, या उनसे उपनामित रिकॉर्ड) ही
severity: "critical" के साथ उत्सर्जित किए जाते हैं।
दो इनपुट आकार समर्थित हैं। कवरेज के आधार पर एक चुनें।
OSSF malicious-packages रेपो (अनुशंसित, सभी इकोसिस्टम एक ही ट्री में):
git clone --filter=blob:none --sparse --depth=1 \
https://github.com/ossf/malicious-packages.git mp
git -C mp sparse-checkout set osv/malicious
go run ./tools/osvcatalog \
-source "https://github.com/ossf/malicious-packages@$(git -C mp rev-parse HEAD)" \
-o threat_intel/osv-malicious.json mp/osv/malicious/
OSV प्रति-पारिस्थितिकी तंत्र डंप (एकल पारिस्थितिकी तंत्र, zip संग्रह):
curl -fsSLO https://osv-vulnerabilities.storage.googleapis.com/npm/all.zip
go run ./tools/osvcatalog -o threat_intel/osv-npm-malicious.json npm/all.zip