中身のないnpmパッケージ「-」が70万回以上ダウンロードされる— その理由とは | POSTD

名前が1文字の「-」という謎めいたnpmパッケージは、2020年にレジストリで公開されて以来、70万回以上ダウンロードされています。 さらに、このパッケージには有効なコードが含まれていません。では、一体なぜこれほど多くダウンロードされているのでしょうか？ npmパッケージ「-」の中身 「-」というnpmパッケージは、2020年初めにnpmレジストリで公開されてから、約72万回もダウンロードされてきました。 パッケージのバージョンは0.0.1のみで、ファイルは3つです。 tar tvf 0.0.1/--0.0.1.tgz package/dist/index.js package/package.json package/README.md これらのファイルは主にマニフェスト（package.json）とindex.jsで、特に面白い点はなく、スケルトンコードが書かれているだけです。 マニフ

[lHMaUyzK]

悪意のあるコードが入れられる前に、何らかの公式的なパッケージが入れられてほしいね

[yosuke_furukawa]

意外と面白かったやつ。よくある脆弱なライブラリの話かと思いきや、面白いインタビューだった。

[ytRino]

いい話

[hdkINO33]

“「このパッケージの挙動は奇妙で、いくらか危険かもしれません。ですから、『-』や『g』、『D』などのパッケージを誤ってインストールしたと疑われる場合に警告を返す機能を導入する予定です」”

[UDONCHAN]

他にも似たようなのいっぱいありそうだよね

[t1mvverr]

性善説で支えられてる感がすごい

[mrmt]

うっかりcpanm install fooした人のためのinstallパッケージみたいな。

[digo]

パッケージ名タイプミスを期待した攻撃なんてのもありそうだな。。

[raimon49]

他にも「i」とか「g」が存在するのか。なるほど。

[dkanikama]

おれはtscをインストール、実行したことがある

[kenzy_n]

ないものが手に入る