OpenSSF收录npm侦察型投毒包

OpenSSF 恶意包库更新条目 MAL-2026-18212，收录 npm 包 @blueskydataplatform/shared-ui 的 99.0.3 与 99.0.2 版本，标记为 CWE-506 嵌入式恶意代码。该包自称“兼容性垫片”，仅含 index.js 和 beacon.cjs。 据 OpenSSF 条目，package.json 的 postinstall 脚本会运行 beacon.cjs，通过明文 HTTP 向硬编码 IP 地址 185.158.107.175:8787 发送安装者主机名、安装路径、当前工作目录、Node 版本和包名；index.js 在顶层也调用 beacon.fire()，因此即使禁用 npm 生命周期脚本，任何 require/import 该包仍会触发同样的外传。 条目称，该包以 99.0.3 版本和仿组织作用域发布，形态类似依赖混淆抢注，意图盖过 @blueskydataplatform 的合法内部包，并确认能否触达私有或 CI 构建环境。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。