npm 12 вышел. Скрипты установки теперь выключены по умолчанию.

(InfoQ) официально: preinstall / install / postinstall и даже implicit node-gyp больше не бегают сами. Нужно явно разрешать через npm approve-scripts. Git-зависимости и remote-tarball тоже под флагом.

Это закрывает один из самых больших векторов supply-chain атак последних лет. Но и ломает кучу CI, если вы ещё не обновились.

Если ваш пайплайн ещё на старом npm — сейчас самое время проверить, что именно у вас перестанет собираться.

Источник: InfoQ

#npm #JavaScript #Security #SupplyChain