GHSA Malware advisory is missing some packages of Mastra supply chain attack campaign
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 45/100
- Type d'issue
- Bug
- Clarté
- Plutôt claire
- Activité
- Calme
- Stack technique
- javascript, node.js
- Domaine
- security
Piste de recherche
Ouvrez l’URL du changeset du fournisseur Mastra et comparez sa liste de paquets/versions avec l’avis GHSA actuel. Vérifiez les rapports de supply chain cités pour corroborer les paquets supplémentaires. La tâche est considérée comme terminée lorsque l’avis reflète correctement tous les paquets et versions affectés qui ont été vérifiés ; aucun fichier du dépôt ni aucun test n’est mentionné dans l’issue.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Hi,
Please, review better the current malware campaign for Mastra packages are missing in the GHSA advisory.
Take a look to this URL from the provider:
https://github.com/mastra-ai/mastra/blob/main/.changeset/easy-day-js-security-remediation.md?plain=1
Missing packages example (and probably more):
| Package | Version |
|---|---|
| @mastra/acp | 0.2.2 |
| @mastra/agentcore | 0.2.2 |
| @mastra/agentfs | 0.1.1 |
| @mastra/arthur | 0.3.3 |
| @mastra/astra | 1.0.2 |
More references:
- https://thehackernews.com/2026/06/144-mastra-npm-packages-compromised-via.html
- https://www.stepsecurity.io/blog/mastra-npm-packages-compromised-using-easy-day-js
- https://socket.dev/blog/mastra-npm-packages-compromised
- https://socket.dev/supply-chain-attacks/mastra-ai-framework-compromise
- https://safedep.io/mastra-npm-scope-takeover-supply-chain-attack/
- Langage dominant
- Aucune donnée de langage
- Étoiles
- 2.5k
- Forks
- 819
- Merge moyen
- 5 j 16 h
- PR mergées (30 j)
- 56
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Aucun modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de github/advisory-database
-
Update https://github.com/advisories/GHSA-5pf6-cq2v-23ww to include patched versionPeut-être pris @GreyforgeLabs l’a pris il y a 13 jours. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
github/advisory-database#9879 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
github/advisory-database#9255 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
github/advisory-database#9164 · 1 réaction ·
Les mainteneurs répondent en général sous 1 jour
-
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packagesPeut-être pris @ECD5A l’a pris il y a 56 jours. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
github/advisory-database#8994 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
github/advisory-database#8898 · 4 commentaires · 1 réaction ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de github/advisory-database
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
Uuriko/project-room#3637 ·
Les mainteneurs répondent en général sous 1 jour
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
jbacalso24/mimry#291 ·
Les mainteneurs répondent en général sous 1 jour
-
ci-cd from-review-extraction python security severity:suggested
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
LearningCircuit/local-deep-research#7454 ·
Les mainteneurs répondent en général sous 2 jours
-
fix(connectors): preserve critical severity for active Tines casesPeut-être pris @meshreyy l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100
Les mainteneurs répondent en général sous 1 jour
-
Change oauth client name?Peut-être pris @nealrichardson l’a pris aujourd’hui. Ouverte
Difficulté 1/5 Moins d'une heure Accessibilité débutants 66/100
posit-dev/rsconnect-python#870 ·
Les mainteneurs répondent en général sous 1 jour