Slopsquatting

Le vrai truc

Les assistants de code citent régulièrement des bibliothèques qui n'existent pas, avec des noms plausibles et stables d'une fois sur l'autre. Un attaquant enregistre ces noms sur les dépôts publics et y place du code malveillant. Le développeur qui suit la suggestion sans vérifier l'installe lui-même. La parade tient en une habitude : vérifier qu'un paquet existe et qui le publie avant de l'ajouter.