اخبار فناوری امروز؛ موج هشدارهای npm، آسیب‌پذیری‌های Critical و امنیت زنجیره تأمین

اخبار فناوری امروز؛ امنیت npm، آسیب‌پذیری‌های Critical و زنجیره تأمین

تاریخ: ۱۳ مهر ۱۴۰۵
بازه بررسی: ۱۲ تا ۱۳ مهر ۱۴۰۵
تمرکز: JavaScript، TypeScript، Node.js، npm، امنیت زنجیره تأمین، ابزارهای توسعه و AI

مقدمه

امروز، برخلاف گزارش‌های قبلی که ممکن بود خبرهای چند روز قبل دوباره تکرار شوند، این بسته فقط روی اتفاقات تازه‌ی ۵ اکتبر ۲۰۲۶ تمرکز دارد. مهم‌ترین جریان خبری امروز برای توسعه‌دهنده‌ها، نه یک major release تازه، بلکه موج جدید advisoryهای امنیتی در اکوسیستم npm است.

GitHub Advisory Database چندین advisory تازه را با برچسب Malware برای packageهای npm ثبت کرده است؛ از جمله focus-visible-polyfill-lite، css-anchor-pos-fallback، css-reading-flow-polyfill، css-snap-target-polyfill، chai-as-testmode، express-enhanced و core-js-gnz. این‌ها را نباید بدون بررسی بیشتر یک «حمله واحد» دانست؛ advisoryها package-specific هستند و بسیاری هنوز Unreviewed هستند.

هم‌زمان دو آسیب‌پذیری Critical برای Legcord نسخه‌های 1.1.0 تا 1.3.0 و یک آسیب‌پذیری High برای GitAhead نسخه‌های 2.5.0 تا 2.7.1 ثبت شده است.

خلاصه سریع

• 🔴 چندین advisory تازه‌ی npm Malware در ۵ اکتبر.
• 🔴 دو CVE با شدت Critical برای Legcord: CVE-2026-105293 و CVE-2026-105294.
• 🟠 آسیب‌پذیری High در update mechanism نرم‌افزار GitAhead: CVE-2026-105295.
• 🟢 در بازه امروز release واجد شرایطی از Node.js، Deno یا Bun پیدا نشد.
• 🟢 announcement مهم تازه‌ای از Chrome/Firefox/WebKit در همین بازه پیدا نشد.
• 🟡 تم اصلی امروز: Dependency Security و Supply Chain.

۱. موج جدید Malware در npm

تاریخ: ۵ اکتبر ۲۰۲۶
وضعیت: Security Advisory / Unreviewed

GitHub Advisory Database امروز چندین advisory جدید برای npm با طبقه‌بندی Malware نشان می‌دهد. نمونه‌ها:

• focus-visible-polyfill-lite
• css-anchor-pos-fallback
• css-reading-flow-polyfill
• css-snap-target-polyfill
• chai-as-testmode
• express-enhanced
• core-js-gnz
• css-a11y-contrast-utils
• css-scroll-anchor-polyfill
• css-logical-prop-shim
• css-field-sizing-polyfill
• css-interop-observer-polyfill
• css-scroll-state-polyfill
• css-env-function-shim
• css-relative-color-util
• css-gap-decorations-polyfill
• css-light-dark-polyfill
• css-starting-style-polyfill
• express-fork
• hardhat-jsx
• monitoring-agent

نکته مهم: advisory یک package به‌تنهایی به معنی آلوده بودن تمام نسخه‌ها یا تمام پروژه‌های استفاده‌کننده نیست. باید نسخه affected و fixed version همان advisory بررسی شود.

چرا مهم است؟

یک dependency کوچک می‌تواند به‌صورت transitive وارد پروژه Node.js، محیط توسعه، CI/CD یا production شود. بنابراین فقط packageهای اصلی را بررسی نکنید.

اقدام پیشنهادی

npm audit
npm outdated
npm ls --depth=0

در package مشکوک، lockfile و تاریخچه نصب را بررسی کنید و بدون بررسی version range کورکورانه npm update نزنید.

منبع اصلی: https://github.com/advisories?query=type%3Amalware

۲. دو آسیب‌پذیری Critical در Legcord

تاریخ: ۵ اکتبر ۲۰۲۶
Severity: Critical
CVE: CVE-2026-105293 و CVE-2026-105294

GitHub دو advisory با شدت Critical برای Legcord نسخه‌های 1.1.0 تا 1.3.0 ثبت کرده است.

CVE-2026-105293 مربوط به path traversal در theme IPC handlers است.

CVE-2026-105294 یک configuration injection را توصیف می‌کند که امکان اجرای script را ایجاد می‌کند.

هر دو مورد در GitHub فعلاً Unreviewed نمایش داده می‌شوند؛ پس باید بین وجود advisory و تحلیل نهایی reviewed تفاوت گذاشت.

اقدام: اگر Legcord روی workstation یا سیستم سازمانی نصب است، نسخه را چک و بر اساس advisory رسمی اقدام کنید.

منبع اصلی: https://github.com/advisories?query=severity%3Acritical

۳. GitAhead و update mechanism ناامن

تاریخ: ۵ اکتبر ۲۰۲۶
Severity: High
CVE: CVE-2026-105295

GitAhead نسخه‌های 2.5.0 تا 2.7.1 دارای مشکلی در insecure update mechanism هستند.

این موضوع برای ابزارهای desktop مهم است، چون updater معمولاً با سطح دسترسی بیشتری از یک web application عادی کار می‌کند.

منبع اصلی: https://github.com/advisories?query=sort%3Aupdated-desc

۴. وضعیت JavaScript، TypeScript و Runtimeها

Node.js

در بازه دقیق این گزارش release تازه‌ای که بتوان آن را «خبر امروز» نامید پیدا نشد. Node.js 26.10.0 مربوط به ۲۲ سپتامبر ۲۰۲۶ است و عمداً در خبرهای امروز به‌عنوان release جدید حساب نشده است.

نکته مهم آینده Node.js این است که پروژه اعلام کرده از خط 27.x به سمت یک major release در سال می‌رود و فاز Alpha برای اکتبر ۲۰۲۶ برنامه‌ریزی شده است.

Deno

صفحه رسمی Deno، Deno 2.9 را در ۲۵ ژوئن ۲۰۲۶ به‌عنوان آخرین product update شاخص نشان می‌دهد؛ release تازه‌ای برای بازه امروز پیدا نشد.

Bun

در بازه بررسی announcement رسمی تازه‌ای از Bun که معیار «خبر امروز» را داشته باشد پیدا نشد.

TypeScript و ECMAScript

در بازه بررسی announcement تازه و قابل‌اتکایی از TypeScript یا TC39 برای انتشار به‌عنوان خبر اصلی امروز پیدا نشد.

۵. Browser و Web Platform

در این بازه announcement مهم و تازه‌ای از Chrome، Firefox یا WebKit که ارزش قرار گرفتن در بخش خبرهای اصلی امروز داشته باشد پیدا نشد.

WebKit buildهای روزانه دارد، اما daily build را نباید با public product release اشتباه گرفت.

منبع: https://webkit.org/build-archives/

۶. AI و ابزارهای توسعه

امروز عمداً announcementهای قدیمی‌تر را تکرار نکرده‌ایم. برای نمونه DevDay 2026 شرکت OpenAI در ۲۹ سپتامبر برگزار شد؛ مهم است، اما خارج از پنجره ۲۴ ساعته امروز است و بنابراین در این گزارش به‌عنوان خبر تازه تکرار نمی‌شود.

۷. شایعات

در بازه بررسی شایعه‌ای درباره JavaScript/Node.js/TypeScript که هم تازه باشد و هم ارزش انتشار مستقل داشته باشد پیدا نشد.

FAQ

آیا npm دوباره هک شده؟

نه لزوماً. چیزی که می‌توان با اطمینان گفت این است که GitHub چندین advisory جدید با طبقه‌بندی Malware برای packageهای npm ثبت کرده است. هر مورد باید جداگانه بررسی شود.

آیا باید همه dependencyها را حذف کنم؟

خیر. lockfile، dependency tree و advisory مربوط به package affected را بررسی کنید. حذف کورکورانه می‌تواند build را خراب کند.

آیا npm audit کافی است؟

خیر. npm audit مهم است، اما برای supply-chain security بهتر است GitHub advisories، lockfile، provenance و تاریخچه dependencyها هم بررسی شوند.

آیا همه نسخه‌های Legcord مشکل دارند؟

Advisoryهای امروز نسخه‌های 1.1.0 تا 1.3.0 را مشخص کرده‌اند. اگر در این بازه هستید، advisory و راهکار maintainer را بررسی کنید.

آیا امروز Node.js نسخه جدید داده؟

در پنجره دقیق این گزارش خیر. 26.10.0 مربوط به ۲۲ سپتامبر است.

سه اقدام اولویت‌دار امروز

1. Dependencyهای Node.js را audit کنید و packageهای تازه advisory‌شده را بررسی کنید.
2. Legcord 1.1.0–1.3.0 و GitAhead 2.5.0–2.7.1 را روی سیستم‌ها چک کنید.
3. در پروژه‌های حساس، lockfile و dependency review را جدی‌تر کنید.

منابع اصلی

• https://github.com/advisories?query=type%3Amalware
• https://github.com/advisories?query=severity%3Acritical
• https://github.com/advisories?query=sort%3Aupdated-desc
• https://nodejs.org/en/blog/release/
• https://deno.com/blog
• https://webkit.org/build-archives/
• https://developers.openai.com/api/docs/changelog