Malicious code in ufish (PyPI)
Part of the "Hades" wave of the Shai-Hulud supply-chain campaign. On 2026-06-08, malicious phantom releases of ufish were published to PyPI using stolen credentials. The package executes a bundled JavaScript payload (via the Bun runtime) on import that harvests and exfiltrates credentials and attempts self-propagation. This entry is a summary; behavior may not be fully characterized here. See the linked references for detailed analysis and indicators of compromise.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | ufish | = 0.1.2, = 0.1.3 | brak poprawki |
Odnośniki
- https://inspector.pypi.io/project/ufish/0.1.3/packages/c9/3d/62d93be789de98b0c3c23c5b3dfcf3f569d21984fed2613057d6dbae0daa/ufish-0.1.3-py3-none-any.whl//ufish-setup.pth
- https://www.endorlabs.com/learn/shai-hulud-hades-wave-hits-six-pypi-bioinformatics-packages
- https://www.stepsecurity.io/blog/the-hades-campaign-pypi-packages
- Słabość (CWE)
-- Platforma
- Python (PyPI)
- Paczka
ufish- Ujawniono
- 01.07.2026
- Aktualizacja
- 11.10.2026 13:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-610 - PyPA Advisory Database; CC BY 4.0
Historia podatności: ufish
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.