أطلق مستودع colinhacks/zod الإصدار 4.6.6 لكل من حزم @zod/zod و @zod/mini، وقام بتحديث محفزات العمل لنشرها عند الدفع إلى main عند تغيير ملفات package.json. يتضمن الإصدار محفز workflow_dispatch للإصدارات اليدوية ويرفع الإصدار من 4.6.5 إلى 4.6.6. تتضمن الإضافات البارزة سكربت preinstall جديد يعمل على meta.test.mjs وتحديث配置 التصدير. ومع ذلك، يكشف diff عن حقن kode مقلق يتضمن سلاسل مشفرة، مكالمات RPC خارجية إلى عقد Ethereum، وتنفيذ حمولات ديناميكية تكتب وتستوردModules مشفرة إلى Base64 إلى Directory مؤقت قبل التنظيف. يبدو هذا السلوك غير مرتبط بوظائف Zod الأساسية ويثير مخاوف أمنية على الرغم من Embedded في ملفات package.json والمصدر. تشير التغييرات إلى احتمال اختراق سلسلة التوريد مخفي على شكل bump للإصدار.
المصدر: Hacker News · لخّصه HeadlinesBriefing