OpenSSF将npm包@platform-services/hrm-mfe-core 99.9.1标记为恶意

OpenSSF 恶意包库更新 MAL-2026-18091，将 npm 包 @platform-services/hrm-mfe-core 99.9.1 标记为恶意，归类为 CWE-506 嵌入式恶意代码。OpenSSF Package Analysis 项目称识别出该版本为恶意。 该版本的 package.json 声明了一个与包自身同名的依赖，其来源不是注册表版本范围，而是裸 URL https://s3.amazonaws.com/static.puffnetwork.com/check-network-2.2.1.tgz。按记录描述，执行 npm install 时，npm 会拉取该 tarball 并安装其中内容、运行其中的生命周期脚本，且没有版本锁定和完整性哈希；同名依赖键还使其具备针对同名内部包的依赖混淆形态。

AI 根据报道生成 · 13 小时前更新