Repositori colinhacks/zod merilis versi 4.6.6 untuk kedua paket @zod/zod dan @zod/mini, memperbarui trigger workflow untuk menerbitkan saat push ke main ketika file package.json berubah. Rilis mencakup trigger workflow_dispatch untuk rilis manual dan menaikkan versi dari 4.6.5 ke 4.6.6. Penambahan yang menonjol meliputi script preinstall baru yang menjalankan meta.test.mjs dan konfigurasi export yang diperbarui.
Namun, diff mengungkapkan kode penyuntikan yang khawatirkan melibatkan string terenkripsi, panggilan RPC luar ke node Ethereum, dan eksekusi payload dinamis yang menulis dan mengimpor module terenkripsi base64 ke dalam direktori sementara sebelum pembersihan. Perilaku ini tampaknya tidak berhubungan dengan inti fungsionalitas Zod dan memicu kekhawatir keamanan meskipun ditempatkan di file package.json dan source. Perubahan ini menyarankan kompromi sisi rantai pasokan yang terdisguise sebagai bump versi.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing