🚨 Axios взломали
Вредоносные версии Axios, троян через postinstall и действия при компрометации окружения.
В npm-пакет Axios попал вредоносный код — классическая supply chain атака.
📦 Заражённые версии:
1.14.10.30.4
⏱️ Они прожили всего ~2–3 часа, но этого хватило, чтобы попасть в CI/CD и прод.
Если ты сделал npm install в 00:21 – 03:15 по UTC, то твое окружение считается скомпрометированным.
🧩 Внутри был не сам код axios, а «левая» зависимость plain-crypto-js, которая через postinstall ставила троян.
🛠 Что делать:
- проверить lockfile на
axios@1.14.1или0.30.4 - если были → считать окружение скомпрометированным (локалка/CI)
- удалить
node_modules+ lockfile и пересобрать проект - срочно ротировать ВСЕ секреты (npm, GitHub, AWS, env и т.д.)
- проверить CI/CD (если там был install в это время)
- зафиксировать версии на безопасные (
1.14.0/0.30.3) - использовать строго зафиксированные версии зависимостей (без плавающих диапазонов)
💡 И да — про зависимости
Мы часто тащим библиотеки просто по привычке, хотя:
- HTTP → уже есть
fetch - базовые вещи пишутся за пару минут
- веб-стандарты давно закрывают кучу кейсов
Каждая зависимость — это:
- ⚠️ потенциальная точка атаки
- 📦 чужой код в твоём проде
- 🔗 риск supply chain атак, как эта
Иногда дешевле написать своё, чем потом разгребать последствия.