OpenSSF恶意包库收录npm依赖混淆信标包

OpenSSF 恶意包库通过 OSV 记录收录了 npm 包 @ppa-web-components/ppa-banner 的 1.0.0、1.0.1、2.0.0、2.0.1 四个版本，均标记为 CWE-506 嵌入式恶意代码。该包带有 beacon.cjs 脚本，通过 scripts.postinstall 执行，并在 index.js 被 require 时再次调用。 该信标收集主机名、目录路径和 Node 版本等主机标识，以明文 HTTP POST 到硬编码裸 IP 地址 http://185.158.107.175:8787/_ah/dc。OpenSSF 称该地址与任何发布者基础设施无关，并认为包名、空壳导出以及安装和导入时回连的组合，符合针对内部 @ppa-web-components/* 命名空间的依赖混淆或命名空间劫持侦察特征。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。