OpenSSF 收录 npm 恶意包 unicode-title-normalizer

OpenSSF 恶意包库新增报告，将 npm 包 [email protected] 标记为 CWE-506 嵌入式恶意代码，记录其在 install 脚本中用 curl 把 GITHUB_TOKEN 拼入 webhook.site 地址外传。 该包于 2026-10-19 由账号 blunty_blunks 发布，约在 npm 暂存发布占位包 0.0.0-stage 之后一分钟。OpenSSF 称，令牌以 GitHub Actions 表达式语法（${{ }}）写入，sh 和 bash 会将其视为错误替换，因此在 POSIX shell 上 curl 命令很可能不会执行。 npm 已于 2026-10-20 移除该包，该名称现为 npm 的 0.0.1-security 占位包。

AI 根据报道生成 · 17 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。