OpenSSF 标记 npm 包 @tekmidian/pai 含恶意代码

OpenSSF 恶意包库为 npm 包 @tekmidian/pai 的 1.0.8、1.0.9 版本新增 MAL-2026-18205 编号，对应 GHSA-xvgg-qjjh-gq34，归类为 CWE-506 嵌入式恶意代码。该条目由 ghsa-malware 来源导入，发布时间为 2026-10-23。

OpenSSF 恶意包库新增一条来自 GHSA 的恶意包记录 GHSA-xvgg-qjjh-gq34，涉及 npm 包 @tekmidian/pai 的 1.0.8 与 1.0.9 版本，归类为 CWE-506 嵌入式恶意代码。通告称安装或运行该包的计算机应视为已完全失陷，需从另一台计算机立即轮换所有密钥，仅卸载包无法保证清除全部恶意软件。

OpenSSF 恶意包库更新记录为 npm 生态的 @tekmidian/pai 分配编号 MAL-2026-18205，别名 GHSA-xvgg-qjjh-gq34，受影响版本为 1.0.9。该包被标记为内嵌恶意代码，通告称安装或运行过它的机器应视为完全失陷，需立即从另一台机器轮换全部密钥。

OpenSSF 恶意包库新增两条 GHSA 记录，npm 包 @tekmidian/pai 1.0.9 与 imgdecode 1.0.0、1.0.1、1.0.2 被标记为含内嵌恶意代码（CWE-506）。通告称安装或运行过这些包的机器应视为完全失陷，需从另一台机器立即轮换全部密钥，仅卸载包无法保证清除恶意软件。