#GitHub Actions

npmのTrusted Publishingに弱点、1,500超のパッケージに乗っ取りの恐れ

npmの公開の仕組みTrusted Publishingに、リポジトリ名の検証漏れ(Slugfest)があり、1,500超のパッケージが乗っ取られ得る状態でした。GitHubは10月2日に修正済み。公開側と利用側の情シスが点検する項目を整理します。