जसक्रेम्बल का npm रिलीज़ 8.14.0 सुरक्षा‑भंग का शिकार बना, जिसमें प्री‑इंस्टॉल हुक के माध्यम से Windows, macOS और Linux के लिए तैयार रस्ट बाइनरी ड्रॉप हो कर चलती है। सुरक्षा अनुसंधानकर्ता Socket ने इसे प्रकाशित होने के छह मिनट बाद ही फ्लैग किया।

मुख्य बिंदु (Key Takeaways)

  • jscrambler 8.14.0 npm रिलीज़ में इन्फोस्टीलर बाइनरी एम्बेड है।
  • प्री‑इंस्टॉल हुक Windows, macOS और Linux के लिए अलग‑अलग बाइनरी ड्रॉप करता है।
  • Socket ने केवल 6 मिनट में पैकेज को फ़्लैग कर दिया, लेकिन नुकसान पहले ही हो सकता है।

npm (Node Package Manager) जावास्क्रिप्ट विकास का रीढ़ है, जहाँ लाखों डेवेलपर्स हर दिन ओपन‑सोर्स लाइब्रेरीज़ को डाउनलोड और उपयोग करते हैं। इस इकोसिस्टम की खुली प्रकृति कभी‑कभी आपूर्ति श्रृंखला हमलों के लिए संभावित द्वार बनती है, जहाँ दुर्भावनापूर्ण कोड वैध पैकेज में छिपा कर वितरित किया जाता है। 11 जुलाई 2026 को प्रकाशित jscrambler 8.14.0 संस्करण ने इस जोखिम को फिर से उजागर किया।

विषय की विस्तृत जानकारी

jscrambler, जो JavaScript कोड को एन्क्रिप्ट करने और रिवर्स‑इंजीनियरिंग से बचाने के लिए जाना जाता है, ने 8.14.0 रिलीज़ में एक preinstall स्क्रिप्ट जोड़ी। इस स्क्रिप्ट का उद्देश्य तीन अलग‑अलग प्लेटफ़ॉर्म (Windows, macOS, Linux) के लिए रस्ट‑आधारित नेटिव बाइनरी को डाउनलोड कर उसे निष्पादित करना था। बाइनरी कोड सिस्टम की फ़ाइलें, ब्राउज़र क्रेडेंशियल्स, और अन्य संवेदनशील डेटा चुराने के लिए डिज़ाइन किया गया “infostealer” है।

कैसे पता चला?

साइबर सुरक्षा फर्म Socket ने इस अनियमितता को प्रकाशित होने के छह मिनट बाद ही पहचान लिया। उन्होंने पैकेज को npm पर “विषाक्त” के रूप में चिह्नित किया और तुरंत डेवेलपर्स को चेतावनी जारी की। हालांकि, उन शुरुआती उपयोगकर्ताओं ने पहले ही बाइनरी को अपने सिस्टम पर चलाया हो सकता है, जिससे डेटा चोरी का जोखिम बढ़ जाता है।

इतिहास और समान मामले

आपूर्ति श्रृंखला हमले 2020 में event-stream और 2021 में ua-parser-js जैसी घटनाओं से लेकर 2023 में npm‑audit‑tool तक कई बार सामने आए हैं। इन मामलों में भी पैकेज में छिपे दुर्भावनापूर्ण स्क्रिप्ट ने अंत‑उपयोगकर्ता को अनजाने में नुकसान पहुँचाया। इस प्रकार की हमले अक्सर “ट्रस्ट‑असुम्प्शन” मॉडल पर निर्भर होते हैं, जहाँ डेवेलपर स्रोत कोड को भरोसा करके इंस्टॉल करता है।

रोकथाम के उपाय

डिवेलपर्स को अब पहले से अधिक सतर्क रहना होगा:

  • पैकेज की सिग्नेचर और प्रकाशनकर्ता की विश्वसनीयता की दोबारा जाँच करें।
  • सुरक्षा‑संबंधी स्कैनिंग टूल (जैसे npm audit या तृतीय‑पक्ष SAST समाधान) का उपयोग निरंतर करें।
  • सभी प्री‑इंस्टॉल स्क्रिप्ट को निष्क्रिय (disable) करने की नीति अपनाएँ, जब तक कि उनका उद्देश्य स्पष्ट न हो।

संगठन को यह भी चाहिए कि वे अपने CI/CD पाइपलाइन में “सुरक्षा‑गेट” स्थापित करें, जिससे प्रत्येक डिपेंडेंसी की स्वचालित वैरिफिकेशन हो।

भविष्य में, npm और अन्य पैकेज मैनेजर्स को अधिक कठोर सत्यापन प्रक्रियाएँ लागू करनी चाहिए, जैसे कि दो‑स्तरीय कोड साइनिंग और प्रकाशक‑आधारित रैंकिंग सिस्टम। यह घटना फिर से पुष्टि करती है कि ओपन‑सोर्स इकोसिस्टम में सुरक्षा को प्राथमिकता देना अब विकल्प नहीं, बल्कि अनिवार्य है।