一、漏洞详情

npm（全称 Node Package Manager，即“node包管理器”）是Node.js默认的、用JavaScript编写的软件包管理系统。

GitHub公开披露npm的两个漏洞，第一个漏洞为信息泄露漏洞，第二个漏洞为授权漏洞，详情如下：

npm信息泄露漏洞

GitHub公开可用的npm服务的日常维护引起了npmjs的副本服务器上的数据泄漏。泄漏暴露了私有 npm 包的名称列表，但私有包的内容没有暴露。黑客可以利用这些私有包的名称以自动化的方式进行有针对性的依赖混淆和域名抢注攻击。

npm未授权漏洞

该漏洞存在于 npm 软件包的发布过程中，源于处理对npm软件包发布请求的多个微服务之间不正确的授权检查和数据验证，导致授权和发布的软件包存在差异。该漏洞允许攻击者在未经适当授权的情况下使用账户发布任何npm包的新版本。该漏洞尚未被恶意利用，并且已被修复。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

npm管理系统

三、修复建议

目前这些漏洞已经修复，建议相关用户注意防范此类攻击。

参考链接：https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/