OpenSSF 恶意包库· OpenSSF·· 3 小时前精选AI 评分60
OpenSSF 恶意包库记录 npm 包 @walknpm/todo-cli 2.0.1 植入 XMRig 挖矿程序
OpenSSF 恶意包库更新：Assign IDs
AI 导读
OpenSSF 恶意包库新增记录 MAL-2026-18320，指出 npm 包 @walknpm/todo-cli 2.0.1 相对 2.0.0 仅新增 postinstall 脚本 sh scripts/miner.sh，安装即执行。
为什么值得看
记录给出了投毒包的完整投放链与 IOC，可对照排查本机是否装过该版本并清理持久化项。
来源：OpenSSF 恶意包库 · github.com