GitHub corrige falha que expôs 1.500 pacotes no npm

O GitHub corrigiu uma vulnerabilidade crítica no gerenciador de pacotes npm, conhecida como 'SlugFest', que expôs mais de 1.500 pacotes a invasões. A falha permitia que atacantes registrassem endereços de projetos abandonados para emitir atualizações maliciosas, comprometendo ferramentas que baixam dependências automaticamente. Entre os sistemas mais expostos estavam assistentes de IA focados em programação, como Claude Code, Codex, Gemini e Cursor, que poderiam instalar pacotes adulterados sem detecção imediata.

Para mitigar o risco, a plataforma implementou um prazo de 48 horas para a validação de novas configurações de publicação confiável. A Bloom Security, responsável pela descoberta, também alertou para a existência de um problema similar chamado 'Extension Resurrection', que afeta lojas de extensões de editores de código. A correção visa proteger a cadeia de suprimentos de software contra a exploração de projetos inativos e garantir a integridade das dependências utilizadas por desenvolvedores globalmente.