OpenSSF为npm恶意包补录GHSA别名

OpenSSF 恶意包库更新记录 MAL-2026-15604，为 npm 包 @worrisome/reutil 补录 GHSA-4f5p-mp5p-863f 别名。 该包不含 preinstall、install、postinstall 或 prepare 生命周期脚本，因此执行 npm install 时不会触发载荷，也不会直接攻击安装机器。其用途是借 npm CDN（如 unpkg、jsDelivr）作为静态文件托管，让 index.html 可被链接并在受害者浏览器中直接打开，作为钓鱼或 ClickFix 落地页。

AI 根据报道生成 · 19 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。