#PSA: debug、chalk 等 npm 包被骇：请检查受影响版本是否被使用。
- Qix- 是终端字符处理方面一些著名 npm 包的开发者，维护包括 ansi-styles、debug、chalk 等包。其中许多包每周下载量上亿次。
- 开发者被 2FA 恢复验证邮件钓鱼，使得骇客得以访问开发者的 npm 账号。
- 目前有 18 个包确认被注入恶意代码；截至现时，已知被注入恶意代码的版本均被移除。原文列出了这些包的列表。
- （ChatGPT 称）恶意代码的主要行为是替换 HTTP 等请求中的数字货币账户地址，使用户的付款等操作的接收者变为骇客提供的地址。
gh:debug-js/debug#1005
seealso: HackerNews:45169657
linksrc: https://t.me/bupt_moe/2516
#npm #security
- Qix- 是终端字符处理方面一些著名 npm 包的开发者，维护包括 ansi-styles、debug、chalk 等包。其中许多包每周下载量上亿次。
- 开发者被 2FA 恢复验证邮件钓鱼，使得骇客得以访问开发者的 npm 账号。
- 目前有 18 个包确认被注入恶意代码；截至现时，已知被注入恶意代码的版本均被移除。原文列出了这些包的列表。
- （ChatGPT 称）恶意代码的主要行为是替换 HTTP 等请求中的数字货币账户地址，使用户的付款等操作的接收者变为骇客提供的地址。
gh:debug-js/debug#1005
seealso: HackerNews:45169657
linksrc: https://t.me/bupt_moe/2516
#npm #security
GitHub
(RESOLVED) Version 4.4.2 published to npm is compromised · Issue #1005 · debug-js/debug
MESSAGE FROM @Qix- : PLEASE SEE #1005 (comment) FOR LATEST UPDATES. Version not present in this repo has been pushed out to npm. https://www.npmjs.com/package/debug/v/4.4.2?activeTab=code src/index...
