GitHub Tightens npm Publishing After Flaw Left 1,500+ Packages Vulnerable to Hijacking

GitHub has taken the step of expiring unvalidated npm trusted publishing configurations 48 hours after creation after researchers found that it was possible for an attacker to push new versions of a different user's package without having to steal their credentials. "Your configuration becomes...

PT-2026-111670

Name of the Vulnerable Software and Affected Versions Docker Hub affected versions not specified Description An authentication bypass flaw in the management of Personal Access Tokens PAT allowed attackers to impersonate users and organizations. An attacker could create a personal account, generat...

tributary

Tributary A software supply chain analyzer that tells you w...

CVE-2026-63030

CVE-2026-63030 WordPress REST API batch route confusion + SQL injection leading to unauthorized admin creation → Remote Code Execution RCE complete exploit chain PoC. For authorized security testing, vulnerability reproduction, and research only. Do not use against unauthorized targets...

Roman Perepelitsa Powerlevel10k – Vulnerabilities in the software supply chain

Roman Perepelitsa’s Powerlevel10k 1.20.0 and earlier versions have a vulnerability related to the software supply chain. This vulnerability arises from the gitstatus/install script disabling TLS certificate verification and skipping integrity checks. Cyber attackers can intercept requests for the...

Exploit for CVE-2026-104082

original post: https://blog.evan.lat/posts/s...

sh4d0wup

sh4d0wup % docker run -it --rm ghcr.io/kpcyrd/sh4d0wup:edge -h Usage: sh4d0wup OPTIONS Commands: bait Iniciar un servidor de actualizaciones malicioso front Vincular un servidor http/https pero reenviar todo sin modificar infect Manipulación de alto nivel, inyectar comandos adicionales en un...

trajan

Trajan: Escáner de Seguridad CI/CD Trajan escanea pipelines de CI/CD en busca de vulnerabilidades de seguridad que los atacantes utilizan para comprometer las cadenas de suministro de software. Es compatible con GitHub Actions, GitLab CI, Azure DevOps, Jenkins y JFrog. Qué hace Trajan analiza...

feroxbuster

!ADVERTENCIA Aviso de seguridad – Suplantación de dominio El dominio feroxbuster.com NO está afiliado con este proyecto, sus mantenedores ni ninguna versión oficial de feroxbuster. Las descargas oficiales de feroxbuster se distribuyen SOLAMENTE a través de: https://github.com/epi052/feroxbuster...

exrop

Exrop Generador automático de cadenas ROP para binarios x86-64, impulsado por la ejecución simbólica de Triton. Características Establecer registros a constantes u otros registros rdi=0x41414141, rdi=rax Escribir en memoria direcciones/valores basados en constantes y registros Escribir...

packj

Packj señala paquetes de código abierto maliciosos/riesgosos Packj pronunciado 'paquete' es una herramienta para ayudar a mitigar los ataques a la cadena de suministro de software. Puede detectar paquetes maliciosos, vulnerables, abandonados, de typo-squatting y otros 'riesgosos' de registros de...

guac

GUAC: Gráfico para la Comprensión de la Composición de Artefactos Nota: GUAC está en desarrollo activo: si estás interesado en contribuir, consulta la guía para colaboradores. GUAC es un proyecto en incubación de OpenSSF bajo el Grupo de Trabajo de Integridad de la Cadena de Suministro. Gráfico...

chainoffools

CryptoAPI CVE-2020-0601: Explotación de la vulnerabilidad de suplantación de CryptoAPI de Windows. Más información en nuestro artículo de blog. Requisitos de instalación pip install -U -r requirements.txt La generación de certificados funciona con OpenSSL versión hasta 1.0.2u. Certificado CA Usam...

slsa

SLSA "salsa" es Niveles de cadena de suministro para artefactos de software SLSA pronunciado "salsa" es un marco de seguridad desde el origen hasta el servicio, que brinda a cualquier persona que trabaje con software un lenguaje común para aumentar los niveles de seguridad del software y la...

azurelinux

Azure Linux 4 Una distribución de Linux de código abierto construida y optimizada paraAzure, con fuentes derivadas de Fedora Linux. Azure Linux proporciona un sistema operativo seguro y confiable para máquinas virtuales, contenedores y plataformas bare-metal. Azure Linux está construido sobre una...

Malicious code in cloudflare_module (npm)

Source: amazon-inspector 14316e66f8d8eeb53b5fd4850537ac5398947feaf88f3837e39bfa587f60a0fb [email protected] is a typosquat of Cloudflare branding whose only functional code is an install- and import-time beacon. beacon.cjs defines BEACON = "http://185.158.107.175:8787/ah/dc" and a fire...

Malicious code in cloudflare_module (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector f3a545e1e930894c3320e68c2aee17dd2cec7f20ed03b2e882905056d0eee242 Package [email protected] is a dependency-confusion lure targeting the cloudflare namespace. package.json declares scripts.postinstall: "node...

ore-mal-pkg-inspector

OreWatch Detección de Paquetes Maliciosos Multi-Ecosistema y Escáner de Seguridad en la Cadena de Suministro Una herramienta de seguridad de grado de producción para detectar paquetes maliciosos y amenazas en la cadena de suministro en los ecosistemas npm, PyPI, Maven, RubyGems, Go y Cargo...

hoper

Hoper Muestra todos los saltos que realiza una URL que especifiques para llegar a su destino. Por ejemplo, si quieres ver el recorrido completo de una URL de correo electrónico o de una URL acortada. Hoper te devuelve todas las redirecciones de URLs. Instalación $ gem install hoper Uso Escribe en...

pmg

Package Manager Guard PMG Bloquea paquetes maliciosos antes de que se instalen. ¿Por qué PMG? Los desarrolladores y los agentes de codificación con IA instalan paquetes todos los días. Cada npm install o pip install ejecuta miles de líneas de código que nadie revisa. Compromisos recientes en...