OpenSSF 收录 react-native-bright-sdk 投毒包
先了解这件事
OpenSSF 恶意包库新增并更新记录 MAL-2026-18290：npm 包 react-native-bright-sdk 9000.0.0 被判定为依赖混淆包，冒用了一个在 npm registry 之外以 tarball 私有分发的 React Native SDK 名称。该版本于 2026-10-22 发布，此前有一个无实际行为的 0.0.0-stage 占位版本，不受影响。 该包声明 preinstall 钩子，在 npm install 时执行 canary.js，收集机器主机名和时间戳，经 base64 编码后通过 HTTPS GET 请求发送至 estimator-nemeses-unwatched.ngrok-free.dev/canary。9000.0.0 的版本号使其在依赖解析回退到公共 registry 的项目中高于同名私有版本。 OpenSSF 称，安装过该版本的机器已向第三方泄露主机名；应移除该包，并检查私有包名是否已固定到或限定在内部 registry。
AI 根据报道生成 · 3 小时前更新
事件进展
2 个进展
- 10月26日 11:21 · 1篇报道OpenSSF 恶意包库更新 react-native-bright-sdk 条目OpenSSF 恶意包库：OpenSSF 恶意包库记录 npm 包 react-native-bright-sdk 9000.0.0 的依赖混淆投毒
- 10月26日 11:18 · 1篇报道OpenSSF 恶意包库收录 npm 依赖混淆包OpenSSF 恶意包库：OpenSSF 恶意包库记录 npm 包 react-native-bright-sdk 9000.0.0 依赖混淆投毒
报道时间线
沿着报道，了解事件的不同侧面。
- OpenSSF 恶意包库OpenSSF 恶意包库记录 npm 包 react-native-bright-sdk 9000.0.0 的依赖混淆投毒
OpenSSF 恶意包库更新了 npm 包 react-native-bright-sdk 9000.0.0 的恶意包记录，该版本被判定为依赖混淆包，冒用了一个在 npm 之外以 tarball 私有分发的 React Native SDK 名称。
- OpenSSF 恶意包库精选OpenSSF 恶意包库记录 npm 包 react-native-bright-sdk 9000.0.0 依赖混淆投毒
OpenSSF 恶意包库新增记录，npm 包 react-native-bright-sdk 9000.0.0 是依赖混淆包，抢占了以 tarball 形式在 npm registry 之外私下分发的 React Native SDK 名称。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。