Le dépôt colinhacks/zod a publié la version 4.6.6 pour les packages @zod/zod et @zod/mini, mettant à jour les déclencheurs de workflow pour publier sur les pushes vers main lorsque les fichiers package.json changent. Le lancement comprend un déclencheur workflow_dispatch pour les releases manuels et augmente le numéro de version de 4.6.5 à 4.6.6. Des ajouts notables incluent un nouveau script preinstall exécutant meta.test.mjs et une configuration d'exportations mise à jour.
Cependant, la diff révèle une injection de code préoccupante impliquant des chaînes cryptées, des appels RPC externes vers des nœuds Ethereum, et exécution de charge utile dynamique qui écrit et importe des modules codés en base64 dans un répertoire temporaire avant nettoyage. Ce comportement semble sans rapport avec la fonctionnalité centrale de Zod et soulève des préoccupations de sécurité malgré qu'il soit incorporé dans les fichiers package.json et source. Les modifications suggèrent une possible compromission de la chaîne d'approvisionnement déguisée en bump de version.
Source: Hacker News · Résumé par HeadlinesBriefing