O repositório colinhacks/zod lançou a versão 4.6.6 para os pacotes @zod/zod e @zod/mini, atualizando os gatilhos de workflow para publicar em pushes para main quando os arquivos package.json mudam. O lançamento inclui um gatilho workflow_dispatch para releases manuais e incrementa a versão de 4.6.5 a 4.6.6. Adições notáveis incluem um novo script preinstall executando meta.test.mjs e configuração de exportações atualizada.
No entanto, o diff revela uma injeção de código preocupante envolvendo strings criptadas, chamadas RPC externas a nós do Ethereum e execução de carga útil dinâmica que escreve e importa módulos codificados em base64 em um diretório temporário antes de limpeza. Este comportamento parece não ter relação com a funcionalidade central do Zod e levanta preocupações de segurança apesar de estar incorporado nos arquivos package.json e source. As mudanças sugerem uma possível compromissão da cadeia de suprimentos disfarçada de bump de versão.
Fonte: Hacker News · Resumido por HeadlinesBriefing