Một cuộc tấn công mới vào chuỗi cung ứng NPM đã được phát hiện, liên quan đến gói phổ biến @ctrl/tinycolor, được tải xuống 2,2 triệu lần mỗi tuần. Phiên bản độc hại bao gồm một phần mềm đánh cắp thông tin kích hoạt trong quá trình chạy script postinstall của npm, sử dụng TruffleHog để quét và trích xuất dữ liệu nhạy cảm. Người dùng được khuyến cáo kiểm tra cài đặt của mình, tạm dừng cập nhật và quay lại phiên bản an toàn để giảm thiểu rủi ro.