OpenSSF 恶意包库· OpenSSF·· 20 小时前精选AI 评分88
OpenSSF 恶意包库记录 PyPI litellm 1.107.0 含凭据窃取与后门
OpenSSF 恶意包库更新：Add litellm 1.107.0 (PyPI): credential stealer and backdoor (#1655)
AI 导读
OpenSSF 恶意包库新增记录，指出 2026-10-21 上传至 PyPI 的 litellm 1.107.0 含上游源码中不存在的凭据窃取程序与远程代码执行后门，系在构建或上传环节注入。
为什么值得看
记录披露了投毒 wheel 中三个额外文件的具体路径与哈希，可用于排查本地是否装过该版本并定位残留。
来源：OpenSSF 恶意包库 · github.com