🦈三世 @cypless@fedibird.com

巴哈姆特動畫瘋也來夏日特賣～ https://prj.gamer.com.tw/2024/anigamerSummerSale/

polyfill.io 被放 malicious code 的事件

台灣的圈子蠻多人是從「請儘速遠離 cdn.polyfill.io 之惡意程式碼淺析」這邊看到的，一些 code 相關的分析部分可以移駕過去看。裡面提到的 GitHub 上面 alitonium 所寫的 comment 蠻值得讀一下 (第一次點的時候會出現 GitHub 的警告，

https://blog.gslin.org/archives/2024/06/30/11863/polyfill-io-%e8%a2%ab%e6%94%be-malicious-code-%e7%9a%84%e4%ba%8b%e4%bb%b6/

#CDN #Computer #Library #Murmuring #Network #Programming #Security #Service #Software #WWW #attack #cdn #chain #cloudflare #code #injection #malicious #polyfill #security #supply

If you are using the polyfill.io service for your website, you may want to reconsider. This was an amazing product, but the last maintainer sold the project and the domain to a China-based company without warning, and the domain is now pointing to a chinese IP running unknown code.

Birdside announcement by the project original author: https://twitter.com/triblondon/status/1761852117579427975

More context in a GitHub issue: https://github.com/polyfillpolyfill/polyfill-service/issues/2834

Polyfill.io JavaScript 供應鏈攻擊影響超過 10 萬個網站
https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/

在一家中國公司收購了 Polyfill.io 服務的網域並修改腳本以將用戶重新導向到惡意和詐騙網站後，超過 100,000 個網站受到 Polyfill.io 服務供應鏈攻擊的影響。

Polyfill 是一種程式碼，例如 JavaScript，它可以為通常不支援它的舊瀏覽器添加現代功能。例如，它新增了舊版瀏覽器不可用但現代瀏覽器中存在的 JavaScript 函數。

polyfill.io 服務被數十萬個網站使用，允許所有訪客使用相同的程式碼庫，即使他們的瀏覽器不支援與較新的瀏覽器相同的現代功能。