El repositorio colinhacks/zod lanzó la versión 4.6.6 para los paquetes @zod/zod y @zod/mini, actualizando los disparadores de flujo de trabajo para publicar en empujes a main cuando los archivos package.json cambian. El lanzamiento incluye un disparador workflow_dispatch para lanzamientos manuales y incrementa la versión de 4.6.5 a 4.6.6. Notablemente, se agrega un nuevo script preinstal que ejecuta meta.test.mjs y se actualiza la configuración de exportaciones.
Sin embargo, el diff revela una preocupante inyección de código que involucra cadenas cifradas, llamadas RPC externas a nodos de Ethereum y ejecución de cargas útiles dinámicas que escriben e importan módulos codificados en base64 a un directorio temporal antes de limpiar. Este comportamiento parece ajeno a la funcionalidad central de Zod y genera preocupaciones de seguridad a pesar de estar incrustado en los archivos package.json y fuente. Los cambios sugieren una posible compromisión de la cadena de suministro disfrazada como actualización de versión.
Fuente: Hacker News · Resumido por HeadlinesBriefing