#pypi — Public Fediverse posts

Восемь аниме-плееров рунета изнутри: шифр Цезаря, пустой параметр и домен, который увели

Я взял за основу популярную опенсорсную библиотеку парсеров аниме-плееров, запустил её — и получил от Kodik 500 Internal Server Error . Не «токен протух», не «IP заблокирован», а именно 500 на каждый запрос. Разбор занял вечер, а причина оказалась в одном символе: библиотека отправляла параметр ref пустым, а сервер требует его заполненным и раскодированным . Дальше выяснилось, что это не единичная поломка, а норма жанра. Один плеер полгода назад переехал на другой формат страницы. Другой отвечает бесконечным редиректом на самого себя. У третьего домен просто увели — сейчас там индонезийский интернет-магазин, а не аниме. Четвёртый прячет ссылки в WebSocket из обфусцированного бандла на 600 КБ, и его я честно не осилил. Под катом — разбор восьми плееров: как каждый отдаёт видео, где именно ломаются существующие парсеры и что из этого следует, если вы пишете что-то похожее. Библиотека получилась побочным продуктом и лежит в открытом доступе.

https://habr.com/ru/articles/1079156/

#python #парсинг #реверсинжиниринг #hls #m3u8 #аниме #pypi #github_actions #websocket

[Перевод] Пакетным менеджерам пора ввести период охлаждения

Когда злоумышленник получает доступ к учетной записи мейнтейнера или захватывает заброшенный пакет, вредоносная версия может разойтись по тысячам проектов быстрее, чем ее успеют заметить. Один из способов снизить риск — ввести период охлаждения для зависимостей: не устанавливать новую версию пакета сразу после публикации, а ждать несколько дней, пока сообщество и вендоры безопасности успеют отреагировать. Публикуем перевод статьи Эндрю Несбитта о dependency cooldown и о том, как этот подход реализуют разные пакетные менеджеры и инструменты обновления зависимостей: npm, pnpm, Yarn, Bun, Deno, pip, uv, Poetry, Bundler, Cargo, Dependabot, Renovate и другие. Отдельно в материале рассматриваются различия между относительными интервалами и абсолютными датами, проблемы временных меток, исключения для обновлений безопасности и ограничения подхода в разных экосистемах.

https://habr.com/ru/companies/codescoring/articles/1044132/

#пакетные_менеджеры #зависимости #supply_chain_security #open_source #npm #PyPI #RubyGems #Dependabot #Renovate #dependency_cooldown

Checkmarx nel mirino di TeamPCP: l’immagine Docker ufficiale di KICS trojanizzata per esfiltrare i segreti dell’infrastruttura

https://insicurezzadigitale.com/checkmarx-nel-mirino-di-teampcp-limmagine-docker-ufficiale-di-kics-trojanizzata-per-esfiltrare-i-segreti-dellinfrastruttura/

Il colloquio di lavoro come arma: Lazarus Group e la campagna Graphalgo contro gli sviluppatori crypto

https://insicurezzadigitale.com/il-colloquio-di-lavoro-come-arma-lazarus-group-e-la-campagna-graphalgo-contro-gli-sviluppatori-crypto/

⚠️ PyPI revokes all tokens stolen in the GhostAction supply chain attack
Malicious GitHub Actions exfiltrated tokens
- No PyPI packages compromised
- Developers advised to use short-lived Trusted Publisher tokens

💬 How do you safeguard DevOps pipelines against supply chain threats?

Follow @technadu for updates.

#CyberSecurity #SupplyChainAttack #PyPI #Python #DevSecOps #GhostAction #OpenSourceSecurity #TokenSecurity #GitHubActions

⚠️ PyPI revokes all tokens stolen in the GhostAction supply chain attack
Malicious GitHub Actions exfiltrated tokens
- No PyPI packages compromised
- Developers advised to use short-lived Trusted Publisher tokens

💬 How do you safeguard DevOps pipelines against supply chain threats?

Follow @technadu for updates.

#CyberSecurity #SupplyChainAttack #PyPI #Python #DevSecOps #GhostAction #OpenSourceSecurity #TokenSecurity #GitHubActions

⚠️ PyPI revokes all tokens stolen in the GhostAction supply chain attack
Malicious GitHub Actions exfiltrated tokens
- No PyPI packages compromised
- Developers advised to use short-lived Trusted Publisher tokens

💬 How do you safeguard DevOps pipelines against supply chain threats?

Follow @technadu for updates.

#CyberSecurity #SupplyChainAttack #PyPI #Python #DevSecOps #GhostAction #OpenSourceSecurity #TokenSecurity #GitHubActions

⚠️ PyPI revokes all tokens stolen in the GhostAction supply chain attack
Malicious GitHub Actions exfiltrated tokens
- No PyPI packages compromised
- Developers advised to use short-lived Trusted Publisher tokens

💬 How do you safeguard DevOps pipelines against supply chain threats?

Follow @technadu for updates.

#CyberSecurity #SupplyChainAttack #PyPI #Python #DevSecOps #GhostAction #OpenSourceSecurity #TokenSecurity #GitHubActions

⚠️ PyPI revokes all tokens stolen in the GhostAction supply chain attack
Malicious GitHub Actions exfiltrated tokens
- No PyPI packages compromised
- Developers advised to use short-lived Trusted Publisher tokens

💬 How do you safeguard DevOps pipelines against supply chain threats?

Follow @technadu for updates.

#CyberSecurity #SupplyChainAttack #PyPI #Python #DevSecOps #GhostAction #OpenSourceSecurity #TokenSecurity #GitHubActions

China-Linked AI Pentest Tool ‘Villager’ Raises Concern After 10K Downloads https://hackread.com/china-ai-pentest-tool-villager-10k-downloads/ #Cybersecurity #CobaltStrike #Cyberspike #Security #AsyncRAT #Straiker #Villager #HSCSEC #China #PyPI #CTF

GhostAction Attack Steals 3,325 Secrets from GitHub Projects – Source:hackread.com https://ciso2ciso.com/ghostaction-attack-steals-3325-secrets-from-github-projects-sourcehackread-com/ #1CyberSecurityNewsPost #CyberSecurityNews #cybersecurity #CyberAttack #GhostAction #GitGuardian #SupplyChain #DockerHub #FastUUID #Hackread #security #GitHub #Python #CI/CD #PyPI

https://blog.gslin.org/archives/2025/08/20/12585/pypi-%e6%9c%80%e8%bf%91%e7%99%bc%e8%a1%a8%e7%9a%84%e4%bf%9d%e8%ad%b7%e6%a9%9f%e5%88%b6-%e9%98%b2%e6%ad%a2-domain-resurrection-attack/

PyPI 最近發表的保護機制 (防止 Domain Resurrection Attack)

#account #attack #cctld #domain #email #gtld #mail #pypi #rdap #recovery #resurrection #security #tld #whois

PyPI Prohibits inbox.ru email domain registrations

https://blog.pypi.org/posts/2025-06-15-prohibiting-inbox-ru-emails/

#HackerNews #PyPI #Prohibits #inbox.ru #email #domain #registrations #inboxru #pypi #cybersecurity #emailsecurity #domainregistration #technews

AWS Glue for Spark のジョブから、AWS CodeArtifact を経由して PyPI のライブラリをインストールする
https://dev.classmethod.jp/articles/aws-glue-for-spark-aws-codeartifact-pypi/

#dev_classmethod #AWS_Glue #AWS_CodeArtifact #PyPI #Spark #PySpark

Malware Upload Attack Hits PyPI Repository https://www.securityweek.com/malware-upload-attack-hits-pypi-repository/ #SupplyChainSecurity #Malware&Threats #Checkmarx #PyPI

Malware Upload Attack Hits PyPI Repository https://www.securityweek.com/malware-upload-attack-hits-pypi-repository/ #SupplyChainSecurity #Malware&Threats #Checkmarx #PyPI

Furthermore, the malware exhibits an added layer of sophistication by injecting malicious commands into the ~/.bashrc file.

#Cybersecurity #Linux #Python #PyPi #CryptoMiners

https://cybersec84.wordpress.com/2024/01/05/3-malicious-packages-on-pypi-sneakily-mine-crypto-on-linux-systems/

The #PSF has received funding for Malware Detection on #PyPI from #CSET! This will mean getting closer to near-instant takedowns of malware on PyPI without needing to infinitely scale up manual triaging of reports all while remaining open! 🎉

https://discuss.python.org/t/pypi-malware-detection-project/28222