OpenSSF 将 npm 包 skillward 两个版本列为恶意包
先了解这件事
OpenSSF 恶意包库将 npm 包 skillward 的 0.1.1 和 0.1.2 两个版本标记为含嵌入式恶意代码（CWE-506），记录编号 MAL-2026-18220，别名 GHSA-9wgc-5pgr-25p3。最初收录时只列出 0.1.1，后续更新把 0.1.2 也纳入受影响范围。 通告称，安装或运行过该包的主机应视为已完全失陷，需从另一台机器立即轮换所有密钥；仅卸载该包无法保证清除全部恶意软件。
AI 根据报道生成 · 43 分钟前更新
事件进展
2 个进展
- 10月23日 23:29 · 1 篇报道OpenSSF恶意包库更新skillward条目OpenSSF 恶意包库：OpenSSF 恶意包库更新：npm 包 skillward 新增 MAL-2026-18220 并纳入 0.1.2 版本
- 10月23日 22:29 · 3 篇报道OpenSSF 恶意包库新增 npm 恶意包 skillward 记录OpenSSF 恶意包库：OpenSSF 恶意包库收录 GHSA-9wgc-5pgr-25p3：npm 包 skillward 含恶意代码
报道时间线
沿着报道，了解事件的不同侧面。
- OpenSSF 恶意包库OpenSSF 恶意包库更新：npm 包 skillward 新增 MAL-2026-18220 并纳入 0.1.2 版本
OpenSSF 恶意包库更新了 npm 包 skillward 的恶意包记录 MAL-2026-18220（别名 GHSA-9wgc-5pgr-25p3），受影响版本在原有 0.1.1 基础上新增 0.1.2。该记录归类为 CWE-506 嵌入式恶意代码，GHSA 来源标注的受影响版本为 0.1.2 与 0.1.1。
- OpenSSF 恶意包库OpenSSF 恶意包库收录 GHSA-9wgc-5pgr-25p3：npm 包 skillward 含恶意代码
OpenSSF 恶意包库新增 GHSA-9wgc-5pgr-25p3，npm 包 skillward 的 0.1.1 和 0.1.2 版本被标记为含内嵌恶意代码（CWE-506）。通告称安装或运行该包的主机应视为已完全失陷，需从另一台机器立即轮换所有密钥，仅卸载包无法保证清除全部恶意软件。
- OpenSSF 恶意包库OpenSSF 恶意包库为 npm 包 skillward 分配 MAL-2026-18220 编号
OpenSSF 恶意包库更新记录为 npm 生态的 skillward 包分配编号 MAL-2026-18220，别名 GHSA-9wgc-5pgr-25p3，受影响版本为 0.1.1。该包被标记为包含恶意代码，归类为 Embedded Malicious Code，通告建议安装或运行过该包的机器视为完全失陷，需立即从另一台机器轮换全部密钥。
- OpenSSF 恶意包库OpenSSF 恶意包库收录 GHSA-9wgc-5pgr-25p3：npm 包 skillward 0.1.1 含恶意代码
OpenSSF 恶意包库新增 GHSA-9wgc-5pgr-25p3，指向 npm 生态的 skillward 0.1.1 版本，归类为 CWE-506 嵌入式恶意代码。通告称安装或运行该包的计算机应视为已完全失陷，需从另一台机器立即轮换所有密钥，删除该包也不保证清除全部恶意软件。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。