nodejs-smtp adlı kötü amaçlı npm paketi, popüler nodemailer kütüphanesini taklit ederek Atomic ve Exodus kripto cüzdanlarını hedef alıyor. Electron tabanlı bu saldırı, cüzdan uygulamalarının iç dosyalarını değiştirip kripto para işlemlerini tehdit aktörlerinin kontrolündeki adreslere yönlendiriyor. Paket, şüphe çekmemek için SMTP mailer işlevini de sürdürüyor.
Kötü amaçlı npm paketleri, Flashbots MEV altyapısını taklit ederek Ethereum cüzdanlarının özel anahtarlarını ve mnemonic tohumlarını Telegram botlarına sızdırıyor. Bu paketler, yazılım tedarik zinciri saldırıları kapsamında zararsız kodlar arasında gizlenmiş kötü amaçlı işlevsellikler barındırıyor ve kripto cüzdanların tamamen ele geçirilmesine yol açabiliyor.
Temmuz 2025'te npm'de yayımlanan iki kötü amaçlı paket, Ethereum akıllı sözleşmelerini kullanarak zararlı komutları gizledi ve kripto geliştiricilerini hedef aldı. Bu paketler, GitHub üzerindeki sahte hesap ağı aracılığıyla popülerleştirildi ve saldırganların tespitten kaçmasını sağladı. Uzmanlar, geliştiricilerin paketleri projelerine dahil etmeden önce kapsamlı değerlendirme yapmasının kritik olduğunu vurguluyor.
Cursor AI kod editöründe Workspace Trust özelliğinin varsayılan olarak kapalı olması, kötü amaçlı depoların otomatik kod çalıştırmasına izin veren kritik bir güvenlik açığı oluşturuyor. Bu durum, tedarik zinciri saldırıları ve hassas veri sızıntıları riskini artırıyor. Uzmanlar, güvenlik önlemlerinin sıkılaştırılması ve kodların dikkatle incelenmesini öneriyor.
Adobe, Commerce ve Magento Open Source platformlarında yüksek riskli bir güvenlik açığını (CVE-2025-54236) duyurdu. Bu zafiyet, müşteri hesaplarının ele geçirilmesine olanak tanıyor ve Adobe tarafından hızlı yamalar ile WAF kuralları devreye alındı. Ayrıca, ColdFusion için kritik bir yol geçiş zafiyeti de yamalandı.