57 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a javascript.
A Wikimedia Foundation sofreu um incidente de segurança com um worm JavaScript que se autopropagava, vandalizando páginas e modificando scripts de usuários em múltiplos wikis. O código foi removido, mas expôs riscos em plataformas colaborativas.
Worm SANDWORMMODE ataca o ecossistema npm com 19 pacotes maliciosos que roubam segredos de dev/CI e se propagam automaticamente. A campanha usa typosquatting, GitHub Actions envenenadas e agora também mira ferramentas de IA como Claude Code e Cursor.
Pesquisa da Intruder em 5 milhões de aplicações revela exposição massiva de segredos como chaves de API e credenciais em pacotes JavaScript front-end, criando uma grave superfície de ataque para invasores.
Atores norte-coreanos estão usando desafios de codificação em processos de recrutamento falsos para distribuir malware a desenvolvedores de JavaScript e Python, visando o ecossistema de criptomoedas.
Um PoC detalhado mostra que listas de filtros regionais usadas por adblockers (EasyList Germany, Liste FR, listas para Brasil etc.) permitem inferir país/idioma do usuário a partir de medições de tempo em JavaScript, funcionando mesmo através de VPNs e Tor. O método testa domínios bloqueados e usa limiar baseado em respostas rápidas para identificar listas ativas.
Pesquisadores expuseram uma operação que usa domínios com aparência educacional como TDS para distribuir malware e phishing. O loader JavaScript ofuscado gera identificadores únicos por visitante, usa certificados Let’s Encrypt e opera em bulletproof hosting (ASN AS202015). Domínios resolvem para 185.33.84.0/23; payloads upstream apresentaram 504 em alguns testes.
ZAP reportou vazamento de memória no motor JS que afeta varreduras ativas após inclusão de nova regra JS no add‑on OpenAPI. Nightly/Weekly atualizados e add‑on alterado para desabilitar a regra; stable pendente. Recomendações: atualizar, controlar recursos e, se necessário, usar varredura passiva ou outra ferramenta.
Uma falha crítica no vm2 (CVE-2026-22709, CVSS 9.8) permite escape da sandbox e potencial execução arbitrária no sistema hospedeiro. A versão citada pela fonte é a 3.10.0. Não há indicação pública de exploração em larga escala na matéria; equipes devem identificar usos do vm2, buscar atualizações do mantenedor e aplicar controles de isolamento.
Relatos técnicos indicam que as defesas do npm introduzidas após os ataques Shai‑Hulud podem ser contornadas por dependências referenciadas via Git. A lacuna permite entrega de código fora das proteções aplicadas a pacotes do registro, exigindo revisão de uso de dependências Git e validação de proveniência.
Pesquisadores da Unit 42 demonstraram um método em que prompts escondidos em páginas legítimas induzem modelos de IA a gerar JavaScript malicioso que é executado no navegador, transformando sites limpos em páginas de phishing em tempo de execução. A técnica evita artefatos estáticos e usa domínios de serviços de IA para evadir filtros de rede; a Unit 42 recomenda análises de comportamento em runtime como mitigação.