Aanvallers hebben de populaire TypeScript-first validation library Zod voorzien van JavaScript-malware. De infectie werd echter op tijd opgemerkt, waardoor er geen besmette versies zijn uitgebracht. Zod is een door applicaties gebruikte library die controleert of ingevoerde of aangeboden data wel in het juiste formaat is voordat het door de software wordt verwerkt. Het zou 342 miljoen wekelijkse downloads hebben.

Vandaag verscheen op Hacker News het bericht dat Zod versie 4.6.6 is voorzien van malware die remote aangeboden JavaScript en een payload downloadt en uitvoert. Het incident blijkt zich al drie weken geleden te hebben voorgedaan. De malafide commit waarmee de malware werd toegevoegd werd op tijd ontdekt voordat die in de 'publishing pipeline' van npm terecht kon komen, zo blijkt uit een analyse. Zodoende is de besmette versie niet voor gebruikers beschikbaar gekomen.

Volgens de maintainer van Zod was het een 'close call' en is vermoedelijk een git push credential gecompromitteerd. De maintainer merkt op dat de 'release flow' van Zod al tegen dit soort aanvallen is beschermd, door gebruik te maken van trusted publishing en een aparte GitHub-omgeving voor secure deployments. Wel heeft de maintainer naar aanleiding van het incident besloten om al zijn packages op npm te verhuizen naar een omgeving waarbij altijd 'environment-scoped staged publishing' wordt toegepast en tweefactorauthenticatie (2FA) is vereist.