鸡西管道保温 主流JavaScript软件包料理平台npm遭供应链投毒袭击

　　据国网罗安全通报中心，监测发现鸡西管道保温，行家主流JavaScript软件包料理平台npm遭“沙虫”（Shai-Hulud）供应链投毒袭击。袭击者攻陷了npm官珍爱者账户，并在短时天职批量投放多数坏心软件包，波及300余个立措施包的600余个坏心版块，影响多个热点开源格局。当开发者装配坏心依赖包后，措施会自动在腹田主机、CI/CD活水线环境实践坏心代码，窃取GitHub Token、npm Token、云行状密钥、SSH私钥、Kubernetes把柄、数据库继续字符串等敏锐信息。这次投毒袭击具备强蠕虫式自我复制与横向传播智力鸡西管道保温鸡西管道保温，袭击者可期骗窃取的npm发布权限点窜和二次发布开发者名下的其他软件包，酿成供应链风险合手续扩散、危害合手续升。

　　、影响边界

　　主要受影响格局包括echarts-for-react、@antv系列中枢库（@antv/g2、@antv/g6、@antv/x6等）、TanStack系列42个包、Mistral AI相关PyPI包以及timeago.js等社区包。受影响对象主要包括前端开发者、东谈主工智能或机器学习开发者、开源格局珍爱者及企业研发东谈主员等。由于坏心软件具备蠕虫式传播智力，可自动再行发布受害者珍爱的其他包，致分享开发环境的其他用户及依赖同珍爱者发布的其他软件包的用户也可能濒临曲折感染风险。

　　二、贬责提出

　　是终止风险引诱。若腹地引诱近期装配过相关受影响的npm依赖，提出暂停格局开动，并断开可疑引诱网罗继续，铁皮保温止坏心代码链接外联。二是排查依赖文献。检查package.json、package-lock.json、pnpm-lock.yaml、yarn.lock及node_modules目次，核实是否存在尽头preinstall、postinstall等自动实践剧本。三是算帐残留思绪。排查Claude Code hooks、VS Code任务建树等位置，检查是否存在router_runtime.js、setup.mjs等可疑文献，避坏心代码在卸载依赖后链接残留。四是换敏锐凭证。实时新GitHub Token、npm Token、云行状密钥、SSH私钥、数据库密码等各种密钥与令，对相关账号实践“退出一皆引诱”操作。五是擢升安全领路。装配npm三依赖前，应核验格局官起首、近期发布纪录和剧本施行，不盲目装配热点包，先采用安全踏实的官版块。

1.本网站以及本平台支持关于《新广告法》实施的“极限词“用语属“违词”的规定，并在网站的各个栏目、产品主图、详情页等描述中规避“违禁词”。
2.本店欢迎所有用户指出有“违禁词”“广告法”出现的地方，并积极配合修改。
3.凡用户访问本网页，均表示默认详情页的描述，不支持任何以极限化“违禁词”“广告法”为借口理由投诉违反《新广告法》，以此来变相勒索商家索要赔偿的违法恶意行为。