npm Trusted Publishing flaw exposed 1,500+ npm packages to takeover
2026-10-13
Investigadores de Bloom Security descubrieron una falla denominada 'SlugFest' en la función Trusted Publishing de npm. Este mecanismo, diseñado para evitar el robo de credenciales mediante el uso de tokens temporales, presentaba un error de validación: npm confiaba en el nombre legible del repositorio (slug) en lugar de usar el identificador numérico permanente de GitHub. Esto permitía que, si un dueño de un repositorio lo renombraba, transfería o borraba, cualquier otra persona pudiera registrar ese mismo nombre y obtener permisos para publicar versiones maliciosas de un paquete existente.
El impacto es considerable, ya que se identificaron más de 1.500 paquetes vulnerables que acumulan más de 10 millones de descargas en total, con un promedio de un millón de descargas mensuales. Un atacante podría incluir un 'postinstall script' (un código que se ejecuta automáticamente al instalar una actualización) para tomar control de las máquinas que descarguen el paquete comprometido.
El riesgo se ve amplificado por el uso creciente de agentes de inteligencia artificial para programar. Según el estudio, estos agentes instalan automáticamente decenas de paquetes al mes en computadoras de desarrolladores y otros equipos, a menudo sin una revisión humana detallada. Esto significa que un paquete malicioso podría ser introducido en una empresa sin que nadie lo note, simplemente porque la IA lo seleccionó como una dependencia necesaria.
GitHub ya implementó correcciones para mitigar este riesgo. Ahora, las configuraciones de publicación que no han sido validadas expirarán en 48 horas y no podrán autorizar publicaciones. Además, npm ha reforzado sus medidas rechazando tokens emitidos a través de ciertos eventos de comentarios en GitHub para evitar abusos.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza software desarrollado internamente o herramientas que dependen de librerías de programación (npm), el riesgo es que un atacante inyecte código malicioso en sus sistemas. Aunque GitHub ya lanzó un parche, la acción recomendada es que su equipo de sistemas o sus desarrolladores ejecuten el comando 'npm trust list' para verificar que los repositorios vinculados a sus paquetes sigan siendo los que ellos controlan. Si detectan repositorios renombrados o transferidos, deben eliminar y volver a crear la vinculación de inmediato para evitar que un tercero tome el control de sus actualizaciones de software.
cybersecuritynews.com · cyberpress.org · hackernoon.com · csoonline.com