Softwareproduct

pnpm

pnpm is een package manager voor JavaScript en de Node.js-omgeving, ontwikkeld als alternatief voor npm met als voornaamste doel efficiënter omgaan met schijfruimte. De naam staat voor Performant npm. Het project werd in 2016 gestart door Rico Sta. Cruz en bouwde voort op ied, een eerder experiment van Alexander Gugel waarin symbolische links werden gebruikt om de map node_modules te organiseren. De eerste stabiele versie, v1.0.0, verscheen op 28 juni 2017. Het technische onderscheid van pnpm zit in het gebruik van een centrale, content adresseerbare opslagplaats voor afhankelijkheden. In plaats van voor elk project een aparte kopie van elk pakket aan te maken, bewaart pnpm een enkel exemplaar van elke pakketversie op een vaste locatie, doorgaans de map .pnpm-store, en koppelt projecten daaraan via hard links, terwijl de afhankelijkheidsboom binnen het project zelf met symbolische links wordt opgebouwd. Door deze aanpak kan pnpm grote monorepositories relatief snel en zuinig verwerken, wat het pakket in de jaren na de introductie populair maakte naast andere JavaScript package managers zoals npm, Yarn en Bun.

Achtergrond via Wikipedia.

Relevante artikelen

HalluSquatting: aanvallers kapen de repositories die AI-codeertools verzinnen

Nieuws

4 min

9 jul 06:10

HalluSquatting: aanvallers kapen de repositories die AI-codeertools verzinnen

Onderzoekers tonen aan hoe criminelen de niet-bestaande repositories en skills kunnen registreren die AI-codeerassistenten opgeven, en zo code op de machines van ontwikkelaars kunnen uitvoeren. Elk team dat een coding-agent gebruikt, loopt dit supply-chain-risico.

Indirect gerelateerd

Nep-SDK's van Paysafe en Skrill op npm en PyPI stelen ontwikkelaarsgeheimen

Nieuws

4 min

9 jul 00:09

Nep-SDK's van Paysafe en Skrill op npm en PyPI stelen ontwikkelaarsgeheimen

Beveiligingsbedrijf Socket vond zeventien nep-betaal-SDK's op npm en PyPI die zich voordoen als Paysafe, Skrill en Neteller. Ze geven een valse succesmelding terug en stelen ondertussen de cloud- en repository-sleutels van ontwikkelaars die er een betaalintegratie mee bouwen.

Indirect gerelateerd

Van eerste levering naar contractverlenging: klantsucces automatiseren in de eerste 90 dagen

Gids

13 min

5 jul 17:00

Van eerste levering naar contractverlenging: klantsucces automatiseren in de eerste 90 dagen

Een klant besluit al vlak na de oplevering of hij verlengt. Zo bewaak je de eerste 90 dagen: een tevredenheidscheck, signalen voor upsell en afhaken, en een renewal-trigger, zonder duur platform.

Indirect gerelateerd

FBI waarschuwt voor supply-chain-groep TeamPCP en adviseert een minimale package-leeftijd

Nieuws

6 min

3 jul 14:10

FBI waarschuwt voor supply-chain-groep TeamPCP en adviseert een minimale package-leeftijd

De FBI bracht een officiele waarschuwing uit voor TeamPCP, die breed gebruikte ontwikkel- en beveiligingstools vergiftigde. De concrete raad: installeer een pakket pas na een minimale leeftijd van zeven dagen.

Indirect gerelateerd

GuardFall: oeroude shell-trucs omzeilen de beveiliging van 10 van 11 open-source AI-codeeragents

Nieuws

7 min

2 jul 02:13

GuardFall: oeroude shell-trucs omzeilen de beveiliging van 10 van 11 open-source AI-codeeragents

Adversa AI testte elf populaire open-source AI-codeeragents op shell-injectie. Tien lieten zich met dertig jaar oude Bash-trucs om de tuin leiden, alleen Continue hield stand. Er is geen CVE en geen patch.

Indirect gerelateerd

Aikido koopt Root voor 70 miljoen dollar om kwetsbaarheden automatisch te patchen

Nieuws

4 min

1 jul 00:19

Aikido koopt Root voor 70 miljoen dollar om kwetsbaarheden automatisch te patchen

Het Gentse beveiligingsbedrijf Aikido neemt de Amerikaanse start-up Root over voor 70 miljoen dollar en kan kwetsbaarheden zo patchen in de versie die je al draait, zonder gedwongen upgrade.

Indirect gerelateerd

Je AI-automatiseringsstack beveiligen tegen supply chain-aanvallen: van npm tot Langflow

Gids

10 min

24 jun 13:05

Je AI-automatiseringsstack beveiligen tegen supply chain-aanvallen: van npm tot Langflow

Het grootste deel van je AI-stack is code van vreemden. Zo leg je elke afhankelijkheid vast, verifieer je herkomst en houd je Langflow en LiteLLM dicht, stap voor stap.

Indirect gerelateerd

Je AI-API-sleutels beschermen: zo voorkom je dat tools en plugins je credentials stelen

Gids

9 min

23 jun 10:13

Je AI-API-sleutels beschermen: zo voorkom je dat tools en plugins je credentials stelen

Een handvol API-sleutels geeft toegang tot je modellen, je data en je budget. Een praktische how-to: van inventarisatie en een secrets manager tot scoped keys, rotatie en monitoring.

Indirect gerelateerd

Je AI-toolchain is je nieuwe aanvalsoppervlak

Inzicht

8 min

20 jun 09:00

Je AI-toolchain is je nieuwe aanvalsoppervlak

Van npm-pakketten tot IDE-plugins tot zelfgehoste gateways: elke laag van je AI-stack is een actief aanvalspad geworden. Zonder supply chain beleid loop je nu al risico.

Indirect gerelateerd

Cybersecurity basischeck: vijf lagen die je zelf kunt nalopen

Gids

10 min

19 jun 17:05

Cybersecurity basischeck: vijf lagen die je zelf kunt nalopen

De meeste aanvallen mikken op de basis, niet op geniale hacks. Met deze basischeck in vijf lagen breng je credentials, netwerk, supply chain, AI-tools en herstelplan in een halve dag op orde.

Indirect gerelateerd