热点事件持续更新

OpenSSF收录@grabcad依赖混淆投毒包

1 篇报道1 个报道来源2 小时前更新

先了解这件事

AI 综述

OpenSSF恶意包库新增记录，npm包@grabcad/company-server-shared的0.0.1、2.0.0、3.0.0、99.0.1版本被Amazon Inspector标记为依赖混淆探测。该包冒用私有@grabcad/*命名空间，但不提供实际功能，index.js导出的Proxy对任意属性返回空操作函数，自称“兼容垫片”，使依赖它的构建不会崩溃。安装或加载时会触发信标：postinstall脚本执行node beacon.cjs，index.js在require()时也会运行同一代码。信标收集主机名、包安装路径、当前工作目录和Node版本，以JSON形式POST到硬编码的裸IP明文HTTP地址http://185.158.107.175:8787/_ah/dc。

AI 根据报道生成 · 1 小时前更新

最新进展10月24日 04:18

OpenSSF 恶意包库收录 npm 包 @grabcad/company-server-shared 依赖混淆探测

报道时间线

沿着报道，了解事件的不同侧面。

10月24日

04:18
OpenSSF 恶意包库
OpenSSF 恶意包库收录 npm 包 @grabcad/company-server-shared 依赖混淆探测
OpenSSF 恶意包库新增记录，npm 包 @grabcad/company-server-shared 的 0.0.1、2.0.0、3.0.0、99.0.1 版本被 Amazon Inspector 标记为依赖混淆探测。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。