NPM 12.0 вышел с отключением запуска скриптов при установке по умолчанию

8 июля 2026 года состоялся релиз пакетного менеджера NPM версии 12.0. Инструмент входит в поставку Node.js и используется для распространения JavaScript-модулей.

Главное нововведение — по умолчанию отключён запуск скриптов во время установки пакетов. Ранее такая возможность позволяла автоматически выполнять команды из package.json при каждой установке зависимости.

Разработчики пояснили, что изменение принято для повышения безопасности. Автоматический запуск скриптов нередко использовался злоумышленниками для внедрения вредоносного кода через скомпрометированные пакеты. Теперь же подобные атаки станут сложнее, а распространение «червей», активируемых через установочные скрипты, замедлится.

В последние годы участились случаи компрометации зависимостей через автоматические скрипты. Новая мера направлена на снижение таких рисков. Для тех, кому требуется прежнее поведение, предусмотрена возможность включить запуск скриптов обратно через настройки.

NPM остаётся крупнейшим реестром пакетов для JavaScript, и это обновление может существенно повлиять на практики безопасности в экосистеме Node.js. Разработчикам рекомендуется ознакомиться с изменениями в документации и при необходимости скорректировать свои рабочие процессы.