- Home
- iThink
- Cyber Security
- Supply chain attack npm 2025: caso widget-core spiegato
Supply chain attack npm 2025: caso widget-core spiegato
di Rocco Balzamà- Pubblicato il
- Aggiornato il
- 1 min di lettura
Supply chain attack npm 2025 scuote l’ecosistema JavaScript: la libreria widget-core (8 M download/settimana) è stata compromessa caricando una versione 5.4.2 contenente uno script postinstall che esfiltra credenziali AWS verso un server Telegram bot.
Analisi tecnica del pacchetto malevolo
Lo script decodifica base64 in memoria e invia ~/.aws/credentials. I maintainer hanno confermato accesso non autorizzato all’account NPM grazie a un token CI leakato nel repo GitHub.
Catena di compromissione
- Token GitHub Actions non ruotato da 18 mesi.
- Bot Telegram con DNS over HTTPS per eludere proxy aziendali.
- Version pinning automatico in
package-lock.jsondi centinaia di progetti.
Mitigazioni comunitarie
- Rotazione segreti CI/CD e 2FA obbligatoria su NPM.
- Utilizzo di
npm ci --ignore-scriptsin pipeline. - Attivazione sigstore Cosign per firmare pacchetti prima del deploy.
Lezioni apprese
Il caso widget-core evidenzia come la sicurezza del codice dipenda dall’igiene della filiera. SBoM firmate e policy enforcement sul registries sono ormai imprescindibili per DevSecOps maturi.
