汚染npm workflow、悪性browser extension 19件、FirefoxのRust JPEG XL decoderがtrusted delivery path独自のthreat modelを求めます。 開発ですぐ活用できるよう整理しました。
@7nohe/openapi-react-query-codegenの悪性version十件は有効なnpm provenanceを持っていました。Issue-comment workflowが「npm publish」textだけを確認し、pull-request forkをid-token: writeでbuildしたためです。Packageは週約15万downloadです。Install-time payloadはregistry、cloud、CI、GitHub、AI-tool credentialを狙い、persistenceとpropagationも備えます。影響versionを入れた場合はdependency cleanupではなくhost compromiseとして対応します。
Socketは二年以上活動するmodular credential-stealing campaignへChrome extension 18件とEdge extension一件を結び付けました。五件はlegitimate authorから買収され、最大のChrome–Edge pairは潜在的に8万userへ影響しました。FrameworkはContent Security Policy headerを削除し、encrypted WebSocket channelを維持し、閲覧pageへwallet drainer、seed-phrase phishing、form capture、session theft、fake updateをinjectします。Automatic updateはownership transferをsecurity boundaryにします。
FirefoxはMozillaが求めたRustベースjxl-rsが約10万行のmultithreaded C++ decoderを置き換えた後、JPEG XLを出荷する予定です。JPEG XLはprogressive rendering、強いlossless compression、lossless JPEG recompressionを提供し、AVIFは複数のweb-quality photo比較でより小さくなります。Chromeも出荷予定でSafariは部分対応済みのため、developerはheadline sizeではなく代表imageでcodecをtestできます。
@7nohe/openapi-react-query-codegenの悪性version十件は有効なnpm provenanceを持っていました。Issue-comment workflowが「npm publish」textだけを確認し、pull-request forkをid-token: writeでbuildしたためです。Packageは週約15万downloadです。Install-time payloadはregistry、cloud、CI、GitHub、AI-tool credentialを狙い、persistenceとpropagationも備えます。影響versionを入れた場合はdependency cleanupではなくhost compromiseとして対応します。
Socketは二年以上活動するmodular credential-stealing campaignへChrome extension 18件とEdge extension一件を結び付けました。五件はlegitimate authorから買収され、最大のChrome–Edge pairは潜在的に8万userへ影響しました。FrameworkはContent Security Policy headerを削除し、encrypted WebSocket channelを維持し、閲覧pageへwallet drainer、seed-phrase phishing、form capture、session theft、fake updateをinjectします。Automatic updateはownership transferをsecurity boundaryにします。
FirefoxはMozillaが求めたRustベースjxl-rsが約10万行のmultithreaded C++ decoderを置き換えた後、JPEG XLを出荷する予定です。JPEG XLはprogressive rendering、強いlossless compression、lossless JPEG recompressionを提供し、AVIFは複数のweb-quality photo比較でより小さくなります。Chromeも出荷予定でSafariは部分対応済みのため、developerはheadline sizeではなく代表imageでcodecをtestできます。
GitHub Actions workflowがissue comment textを信頼する一方でcommenter associationを確認せず、@7nohe/openapi-react-query-codegenの悪性version十件が有効なnpm provenance付きで公開されました。Packageは週約15万downloadで、payloadはdeveloper machine、CI、cloud metadata、registry、AI-tool configからcredentialとpersistenceを探しました。Provenanceはtrusted workflowを特定してもtrusted sourceをbuildしたことまでは証明できません。
Socketはwallet-drainingとcredential-stealing frameworkを共有するChrome extension 18件とEdge extension一件も発見しました。そのうち五件はlegitimate authorから買収され、一組のChrome–Edge extensionは潜在的に8万userを悪性auto-updateへ晒しました。FrameworkはContent Security Policy headerを削除し、WebSocketでencrypted moduleを受け取り、閲覧pageへinjectします。
MozillaのJPEG XL計画はnative attack surfaceへ逆方向から取り組みます。Firefoxは約10万行のmultithreaded C++ decoderを配布せず、ecosystemへcompactなRust implementationを求めました。完成したjxl-rsはprogressive renderingとcross-browser JPEG XL対応を可能にし、AVIFは複数のweb-quality photo比較でなお小さいsizeです。
JPEG XLとAVIFを評価してください。Codec implementation safetyもbrowser platform判断の一部です。