Microsoft Threat Intelligence сообщила о significant supply chain attack в экосистеме npm, в ходе которой было скомпрометировано более 140 пакетов в пространствах mastra и @mastra. Инцидент стал возможен после захвата учетной записи сопровождающего, связанной с именем пользователя ehindero, что позволило злоумышленнику публиковать вредоносные версии пакетов и распространять их через доверенную инфраструктуру разработки. Злоумышленники использовали вредоносный релиз под названием easy-day-js — это typosquatting популярной библиотеки dayjs. Пакет распространялся как зависимость в отравленных версиях...