💡 쉬운 설명
개발 도구에 악성 코드가 포함된 가짜 버전이 배포되어 컴퓨터 내의 비밀번호나 인증 키를 훔쳐가는 보안 사고입니다. 해당 패키지를 설치했다면 모든 로그인 정보가 유출되었을 가능성이 매우 높습니다.
🇺🇸 원문 (English)
The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/
[email protected]`, `@cap-js/
[email protected]`, and `@cap-js/
[email protected]` were published. The malicious packages harvested credentials and attempted self-propagation. If a compromised version was installed, all credentials accessible on that machine (npm tokens, cloud provider credentials, SSH keys, GitHub PATs) should be considered compromised. User should upgrade to `@cap-js/sqlite` >= 2.4.0, `@cap-js/postgres` >= 2.3.0, `@cap-js/db-service` >= 2.11.0. If a compromised version was ever installed, rotate all affected credentials. No known workarounds are available.
⚔️ 공격 벡터
공급망 공격(Supply Chain Attack)을 통한 악성 패키지 배포 및 자격 증명 탈취
🛡️ 대응 방법
패키지를 최신 버전(@cap-js/sqlite >= 2.4.0, @cap-js/postgres >= 2.3.0, @cap-js/db-service >= 2.11.0)으로 업데이트하고 모든 유출 가능성이 있는 자격 증명을 교체하십시오.
🔧 검증 코드
출력된 목록에서 취약한 버전(sqlite 2.2.2, postgres 2.2.2, db-service 2.10.1)이 포함되어 있는지 확인하십시오.
npm list @cap-js/sqlite @cap-js/postgres @cap-js/db-service