endor labs

Эксперты бьют тревогу: хакеры использовали не банальный взлом, а сложную многоуровневую цепочку. В экосистеме npm снова вспыхнула крупная атака на цепочку поставок: злоумышленники за один час протолкнули сотни вредоносных версий популярных пакетов, которыми пользуются разработчики и системы...

Атака использовала именно те механизмы защиты, которым разработчики доверяли больше всего. Mini Shai-Hulud снова ударил по цепочке поставок. Но если первая волна атак затронула пакеты SAP , теперь вредоносная схема разрослась до сотен заражённых версий и стала бить по местам, где обычно...

Под удар попали сервисы на базе Google Cloud и мобильная платформа Firebase. Обычный файл с описанием данных может внезапно превратиться в способ захватить сервер. Специалисты Endor Labs нашли в популярной библиотеке protobuf.js уязвимость, которая позволяет выполнить чужой код почти без...

Разработчики Thymeleaf устранили брешь, позволявшую тайно записывать файлы в систему. Согласно отчету Endor Labs, один незаметный символ табуляции оказался достаточным, чтобы обойти защиту популярного шаблонизатора Thymeleaf и запустить произвольный код на сервере. Уязвимость получила...

Хакеры решили, что если добавить в название домена умное слово, то никто ничего не заметит. Кампания PhantomRaven, нацеленная на разработчиков через каталог npm, получила продолжение. Специалисты обнаружили ещё три волны атак, в рамках которых злоумышленник разместил десятки вредоносных...

RCE, XSS и инъекции в Git. Вот полный список дыр, которые обнаружили за последний месяц. Вокруг платформы автоматизации рабочих процессов n8n снова возникла серьёзная история с безопасностью. В свежем предупреждении разработчики сообщили о критической уязвимости, которая при успешной атаке...

Публичные модули получили неограниченный доступ к самым важным корпоративным тайнам. Недавняя атака на цепочку поставок затронула платформу автоматизации рабочих процессов n8n — злоумышленники загрузили в репозиторий npm вредоносные пакеты, замаскированные под легитимные модули для...

Зачем кто-то целых два года загружал на платформу мусорные пакеты? Появление десятков тысяч фиктивных пакетов в экосистеме npm неожиданно превратилось в долгую и труднообъяснимую историю, начавшуюся ещё в 2024 году. Специалисты заметили, что к каталогу JavaScript-библиотек за два года...

Простой документ становится оружием против защищённых дата-центров. Уязвимость критического уровня была обнаружена в Apache Parquet — открытом формате хранения данных, широко используемом в аналитике и системах обработки больших данных. Проблема получила идентификатор CVE-2025-30065 и оценку...