OpenSSF 恶意包库新增 PyPI 包 fontus 0.0.1–0.0.3 恶意记录

OpenSSF 恶意包库新增一条 OSV 记录，标记 PyPI 包 fontus 的 0.0.1、0.0.2、0.0.3 三个版本为疑似渗透测试或研究代码。该包被指会外传 IP、用户名等基本信息及可用字体，风险有限，活动代号为 2026-10-fontus。记录同时列出三个 IOC 域名，包括 trycloudflare.com 与 workers.dev 子域。