OpenSSF 恶意包库为 PyPI 恶意包 nebulallm 分配 MAL-2026-18297 编号

OpenSSF 恶意包库为 PyPI 恶意包 nebulallm 分配编号 MAL-2026-18297，影响版本 1.4.3。该包在安装时先下载 JScript 脚本，再下载恶意 DLL，并通过覆写 setup.py 中的 install 命令执行恶意代码，同时存在仿冒包名（typosquatting）行为。