OpenSSF 恶意包库记录 PyPI litellm 1.107.0 含凭据窃取与后门
OpenSSF 恶意包库新增记录，指出 2026-10-21 上传至 PyPI 的 litellm 1.107.0 含上游源码中不存在的凭据窃取程序与远程代码执行后门，系在构建或上传环节注入。
为什么值得看：记录披露了投毒 wheel 中三个额外文件的具体路径与哈希，可用于排查本地是否装过该版本并定位残留。
#RCE
OpenSSF 恶意包库精选AI 评分8888
ProjectDiscovery 博客精选AI 评分6767 ProjectDiscovery 审计 Markdown Preview Enhanced 发现 5 个 CVE，可从 Markdown 文件写入任意文件
ProjectDiscovery 用 Neo 审计约 950 万安装量的 VS Code 扩展 Markdown Preview Enhanced，发现 5 个 CVE，均已在 v0.8.28 至 v0.8.30 修复。
为什么值得看：审计把 Markdown 预览中的 eval、webview 消息通道与任意文件写入串成完整利用链，并给出每处修复方式，可作为编辑器扩展安全设计的参照。
已经到底了