O crate arrayref recebeu uma versão comprometida que puxava o pacote typosquat proc-macro1 e executava um payload durante o build. Veja como verificar seu Cargo.lock, conter o risco e melhorar a segurança da cadeia de dependências.
O GitHub anunciou um período de carência padrão para o Dependabot ao sugerir atualizações de versão de pacotes. Entenda como funciona essa nova política, por que ela existe e como configurar para o seu projeto.
Por anos, o software open source foi chamado de grátis. Mas na era dos agentes de IA, esse calculo mudou: tokens, computação, manutenção de dependências e riscos legais criam custos reais que empresas precisam considerar. A Thoughtworks publicou uma análise que esta gerando debate.
Entenda como ataques de cadeia de suprimentos no npm funcionam, por que duas linhas em um pacote podem vazar segredos do seu projeto e o que fazer para se proteger. Guia prático de defesa para devs brasileiros.