npm v12 met en œuvre des paramètres de sécurité par défaut : scripts d'installation bloqués, dépendances Git, URL distantes (infosecurity-magazine.com)

• npm v12 bloque par défaut les scripts d'installation, les dépendances Git et les URL distantes.
• Les développeurs peuvent tester les avertissements avec npm 11.16.0+ et utiliser `npm approve-scripts`.
• Les experts préviennent d'un possible déplacement des attaques vers les dépôts privés et du risque d'approbation aveugle.

"GitHub a annoncé npm v12, introduisant trois changements majeurs de sécurité pour lutter contre les attaques sur la chaîne d'approvisionnement logicielle. Disponible à partir de juillet 2026, la mise à jour bloquera l'exécution automatique des scripts d'installation, empêchera la résolution des dépendances depuis des URL Git personnalisées et interdira l'approvisionnement de paquets depuis des URL externes par défaut. Les développeurs peuvent se préparer avec npm 11.16.0+ et la commande `npm approve-scripts`. Les experts mettent en garde contre un possible déplacement des attaques vers les dépôts privés."