NPMサプライチェーンに新たな攻撃が確認されました。これは、週に220万回ダウンロードされる人気パッケージ@ctrl/tinycolorを含むものです。悪意のあるバージョンには、npmのpostinstallスクリプト中に作動する情報窃取機能が含まれており、TruffleHogを使用して機密データをスキャンおよび外部に送信します。ユーザーはインストール状況を確認し、アップデートを停止し、安全なバージョンに戻すことがリスク軽減のために推奨されています。