أفاد وو أن Scam Sniffer رصدت هجومًا آخر على سلسلة توريد NPM، حيث أصدرت @ctrl/tinycolor (التي تصل تحميلاتها الأسبوعية إلى 2.2 مليون مرة) إصدارًا خبيثًا، والذي يقوم بتشغيل برنامج سرقة المعلومات عند تنفيذ نص postinstall (بعد التثبيت) في npm، لمسح وسرقة البيانات الحساسة. استغلت هذه الحمولة الخبيثة أداة مسح المعلومات الحساسة الشرعية TruffleHog. يرجى التحقق مما إذا كنت قد قمت بتنزيل الإصدار المتأثر، وإيقاف عمليات التثبيت/التحديث، وتثبيت الإصدار على إصدار آمن معروف.