Gói NPM "@ctrl/tinycolor", được tải xuống 2,2 triệu lần mỗi tuần, đã bị tấn công bằng một cuộc tấn công chuỗi cung ứng có chứa chương trình đánh cắp thông tin độc hại.

Theo BlockBeats, Scam Sniffer đã cảnh báo vào ngày 16 tháng 9 rằng gói NPM "@ctrl/tinycolor", với 2,2 triệu lượt tải xuống mỗi tuần, đã bị nhiễm phiên bản độc hại. Lỗ hổng này chạy một trình đánh cắp thông tin trong quá trình cài đặt npm sau đó, sử dụng công cụ hợp pháp TruffleHog để quét và đánh cắp dữ liệu nhạy cảm. Khoảng 40 gói phụ thuộc đã bị ảnh hưởng. Người dùng nên kiểm tra ngay lập tức xem họ đã cài đặt phiên bản bị ảnh hưởng hay chưa, tạm dừng cập nhật và khóa phiên bản bảo mật.