GitHub Actions

Łańcuch dostaw oprogramowania znowu pękł w najgorszym możliwym miejscu. Tym razem problem dotyczy elementary-data, znanego w ekosystemie dbt narzędzia publikowanego przez The Python Package Index (PyPI). Nie mówimy tu jednak o fałszywym klonie z jakiegoś niszowego konta, lecz o złośliwej wersji wypchniętej przez prawidłowy pipeline projektu. Pakiet z 1,15 mln pobrań miesięcznie wykradał użytkownikom klucze i tokeny.