Zod colinhacks/zod リポジトリは、@zod/zod と @zod/mini の両方に対してバージョン 4.6.6 をリリースし、package.json ファイルが変更された場合に main へのプッシュ時に公開するようにワークフロー トリガーを更新しました。リリースには手動リリース用の workflow_dispatch トリガーが含まれ、バージョンを 4.6.5 から 4.6.6 に上げています。注目すべき追加機能には、meta.test.mjs を実行する新しい preinstall スクリプトと更新されたエクスポート構成が含まれます。ただし、diff は暗号化された文字列、イーサリアムノードへの外部 RPC コール、およびベース64でエンコードされたモジュールを一時ディレクトリに書き込んでインポートする動的ペイロード実行に関連する懸念すべきコード注入を明らかにしています。この動作は Zod のコア機能とは無関係であるように見られ、package.json とソースファイルに埋め込まれているにもかかわらずセキュリティ上の懸念を引き起こします。変更はバージョンアップとして偽装された潜在的なサプライチェーン compromise を示唆しています。
出典: Hacker News · 要約：HeadlinesBriefing