Beliebtes PyPI-Paket mit einer Million monatlichen Downloads wurde gehackt, um bösartige Skripte einzuschleusen
Ein schwerwiegender Angriff auf die Software-Lieferkette hat das beliebte Python-Paket elementary-data kompromittiert und Tausende
Kurzfassung
Warum das wichtig ist
- Ein schwerwiegender Angriff auf die Software-Lieferkette hat das beliebte Python-Paket elementary-data kompromittiert und Tausende
- Bedrohungsakteure haben erfolgreich eine bösartige Version, 0.23.3, auf das Python Package Index (PyPI) hochgeladen und die entsprechenden Docker-Images im GitHub Container Registry (GHCR) vergiftet.
- Mit über einer Million monatlichen Downloads stellt dieses weit verbreitete dbt data observability tool ein äußerst lukratives Ziel für Cyberkriminelle dar.
SvyTech-Check
Redaktionelle Einordnung
Kernpunkt
Ein schwerwiegender Angriff auf die Software-Lieferkette hat das beliebte Python-Paket elementary-data kompromittiert und Tausende
Warum relevant
Wie detailliert, basierte der Angriff nicht auf gestohlenen Passwörtern eine Schwachstelle bei der Skriptinjektion in der GitHub Actions-Pipeline des Projekts aus.
Einordnung
SvyTech ordnet die Meldung aus Cyber Security News als Teil des Themenfelds Technologie ein und verweist auf den Originalartikel, damit Leser Fakten, Quelle und Kontext nachvollziehen koennen.
Wie detailliert, basierte der Angriff nicht auf gestohlenen Passwörtern eine Schwachstelle bei der Skriptinjektion in der GitHub Actions-Pipeline des Projekts aus.
Information Stealer Payload Ein neu erstelltes GitHub-Konto veröffentlichte ein bösartiges Skript in einem Kommentar zu einem offenen Pull Request. Da der automatisierte Workflow diesen Kommentar nicht sicher verarbeiten konnte, führte das System den Code aus.
Mit dem im Workflow integrierten Zugriffstoken fälschte der Angreifer einen verifizierten Release-Commit und löste den offiziellen Veröffentlichungsprozess aus, ohne jemals den Hauptcode zu berühren. Die bösartige elementary-data 0.23.3-Veröffentlichung wurde als neueste auf PyPI gelistet (Quelle: stepsecurity).
Quellenprofil
Quelle und redaktionelle Angaben
- Quelle
- Cyber Security News
- Canonical
- https://cybersecuritynews.com/pypi-package-hacked-with-malware/
- Quell-URL
- https://cybersecuritynews.com/pypi-package-hacked-with-malware/
Aehnliche Inhalte
Verwandte Themen und interne Verlinkung
Weitere Artikel aus aehnlichen Themenfeldern, damit Leser direkt im selben Kontext weiterlesen koennen.
HKC präsentiert 1300-Hz-Spielermonitor und riesigen 12K-Display
Der Hersteller HKC erweitert sein Portfolio mit einem dreifach-modigen E-Sports-Monitor, der eine Bildwiederholrate von 1300 Hz erreicht, sowie weiteren Modellen wie dem mit 1000 Hz ausgestatteten ANT25ASF und dem riesigen 12K-Simulationsbildschirm Shield C83U60. Zusätzlich präsentiert die Marke die professionellen Apex-Modelle mit RGB Mini-LED-Technologie, die je nach Auflösung zwischen 165 Hz und 330 Hz wechseln können.
28.07.2026
Live Redaktion
