veilletech.fr
npm : le nom du dépôt valait clé de publication
Bloom Security a montré que la publication de confiance npm se fiait à l'adresse du dépôt GitHub, et non à son identifiant permanent, tant qu'aucune version n'avait été publiée : qui récupérait une adresse libérée pouvait publier sous le nom du paquet. GitHub fait désormais expirer au bout de 48 heures les configurations jamais validées. Plus de 1 500 paquets étaient vulnérables.