Das colinhacks/zod-Repository hat Version 4.6.6 für beide Pakete @zod/zod und @zod/mini veröffentlicht und dabei Workflow-Auslöser aktualisiert, die bei Änderungen an package.json-Dateien auf Pushes in den main-Zweig veröffentlichen. Das Release enthält einen workflow_dispatch-Auslöser für manuelle Releases und erhöht die Version von 4.6.5 auf 4.6.6. Bemerkenswerte Ergänzungen sind ein neues preinstall-Skript, das meta.test.mjs ausführt, und eine aktualisierte Exportkonfiguration.
Allerdings offenbart der diff besorgniserregenden Code-Injection, der verschlüsselte Zeichenfolgen, externe RPC-Aufrufe an Ethereum-Knoten und die dynamische Ausführung von Nutzlasten beinhaltet, die base64-kodierte Module in einen temporären Verzeichnis schreiben und importieren, bevor sie bereinigt werden. Dieses Verhalten scheint nichts mit Zods Kernfunktionalität zu tun zu haben, obwohl es in package.json und Quelldateien eingebettet ist, und wirft Sicherheitsbedenken auf. Die Änderungen deuten auf eine mögliche Lieferkettenkompromittierung hin, die als Versionssprung getarnt ist.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing