พบช่องโหว่ SlugFest ใน npm Trusted Publishing ยึดชื่อ repo GitHub ที่ถูกทิ้งแล้วรับสิทธิ์ปล่อยแพ็กเกจได้ กระทบกว่า 1,500 แพ็กเกจ และยอดดาวน์โหลดรวมกว่า 10 ล้านครั้ง
บริษัท Bloom Security พบช่องโหว่ SlugFest ใน npm Trusted Publishing ที่ผูกแพ็กเกจกับชื่อ repo GitHub แบบข้อความแทนรหัสถาวร ผู้โจมตีจึงจดชื่อ repo ที่ถูกทิ้ง สร้าง workflow ชื่อเดียวกัน แล้วรับสิทธิ์ปล่อยแพ็กเกจได้โดยไม่ต้องขโมยโทเคน กระทบกว่า 1,500 แพ็กเกจที่มียอดดาวน์โหลดรวมกว่า 10 ล้านครั้ง GitHub แก้ไขเมื่อ 2 ตุลาคม โดยให้การตั้งค่าที่ยังไม่ยืนยันหมดอายุใน 48 ชั่วโมง ไม่มีรายงานการโจมตีจริง