Thư viện khách HTTP JavaScript phổ biến Axios đã bị tấn công chuỗi cung ứng, ảnh hưởng đến khoảng 80% môi trường đám mây và mã nguồn. Kẻ tấn công đã lợi dụng token truy cập npm của người duy trì chính Axios để phát hành hai phiên bản độc hại, axios@1.14.1 và axios@0.3.4, chứa một trojan truy cập từ xa đa nền tảng (RAT) nhắm vào các hệ thống macOS, Windows và Linux. Các gói độc hại này đã bị xóa khỏi kho lưu trữ npm trong vòng ba giờ. Công ty bảo mật Wiz báo cáo rằng Axios được tải xuống hơn 100 triệu lần mỗi tuần, nhấn mạnh tác động rộng rãi của vụ vi phạm. Huntress, một công ty bảo mật khác, phát hiện các ca nhiễm đầu tiên chỉ sau 89 giây kể từ khi các gói độc hại được phát hành, xác nhận ít nhất 135 hệ thống bị xâm phạm. Mặc dù Axios đã triển khai các biện pháp bảo mật hiện đại như xuất bản đáng tin cậy OIDC và nguồn gốc SLSA, kẻ tấn công vẫn vượt qua các biện pháp bảo vệ này bằng cách khai thác NPM_TOKEN truyền thống, tồn tại lâu dài, mà npm mặc định sử dụng khi cả OIDC và token đều có mặt.