OpenSSF 将 PyPI 包 zagents-message-bus 标记为恶意

OpenSSF 恶意包库新增记录 MAL-2026-18296，将 PyPI 包 zagents-message-bus 的 1.0.5、1.0.10、99.99.99、99.99.100 四个版本标记为恶意。 该库称，安装或导入该包会外泄主机基本信息，且该包没有其他用途；它还在 setup.py 中覆盖安装命令，在安装阶段执行恶意代码。较早的一条记录将其归类为 PROBABLY_PENTEST，摘要称其为渗透测试或研究代码；后续记录则直接以“恶意代码”作为摘要。 影响范围限于上述四个版本，涉及在安装或导入时可能被收集主机信息的用户。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。