OIDC

Je pakket heeft geen publieke API, dus zeggen koppelpartijen dat er niets kan. Vier routes zeggen van wel, elk met wat hij kost, waar hij breekt en welke afspraak je vooraf met je leverancier maakt.

Aanvallers kaapten de release-pijplijn van vier veelgebruikte AsyncAPI-pakketten op npm en publiceerden versies met een inloggegevens-steler, waaronder @asyncapi/specs met ruim 2 miljoen wekelijkse downloads. Wie ze gebruikt, controleert nu en roteert tokens.