跳到正文
只看供应链#文件读写
10月22日周四
  1. OpenSSF 恶意包库88

    OpenSSF 恶意包库更新 MAL-2026-2144：litellm 1.107.0 被注入窃密与后门代码

    OpenSSF 恶意包库更新 MAL-2026-2144，将 PyPI 上的 litellm 1.107.0 标记为恶意，该版本于 2026-10-21 11:39 至 11:40 UTC 上传，含上游源码中没有的凭据窃取程序与远程代码执行后门，注入发生在构建或上传阶段。

    同一件事，精选收录的是《OpenSSF 恶意包库记录 PyPI litellm 1.107.0 含凭据窃取与后门》

8月16日周日
  1. ProjectDiscovery 博客67

    ProjectDiscovery 审计 Markdown Preview Enhanced 发现 5 个 CVE，可从 Markdown 文件写入任意文件

    ProjectDiscovery 用 Neo 审计约 950 万安装量的 VS Code 扩展 Markdown Preview Enhanced，发现 5 个 CVE，均已在 v0.8.28 至 v0.8.30 修复。

    为什么值得看：审计把 Markdown 预览中的 eval、webview 消息通道与任意文件写入串成完整利用链，并给出每处修复方式，可作为编辑器扩展安全设计的参照。