#安全资讯 GitHub 为 NPM 可信发布设置 48 小时验证期限，用于阻断研究人员发现的仓库名回收漏洞。NPM 可信发布允许使用短期 OIDC 令牌发布软件包，无需在工作流中保存长期访问令牌。研究人员在这个流程中发现漏洞，如果维护者重命名、转移或删除仓库，原仓库名就可能重新开放。此时攻击者可以注册同名仓库获得 NPM 发布凭证，以原软件包名发布恶意版本。查看全文：https://ourl.co/127347