GitHub reforça publicação no npm após falha SlugFest expor mais de 1.500 pacotes a sequestro

O GitHub está reforçando a publicação confiável no npm depois que pesquisadores descobriram uma falha crítica chamada SlugFest, que permitia a atacantes sequestrarem pacotes ao reivindicar nomes de repositórios abandonados. A brecha afetou mais de 1.500 pacotes e deixava versões maliciosas herdarem confiança, contagem de downloads e dependências.

A correção expira configurações de publicação não validadas após 48 horas e exige uma publicação bem-sucedida para vincular o repositório ao seu ID imutável. O GitHub também bloqueia tokens de eventos issue_comment, fechando um caminho perigoso de ataque à cadeia de suprimentos que poderia ser amplificado por agentes de IA.

É uma vitória importante para a segurança do código aberto, mas mostra como a confiança é frágil quando a identidade depende de nomes em vez de IDs permanentes. Desenvolvedores devem validar suas configurações de publicação confiável no npm agora e acompanhar a integridade dos pacotes.