Репозиторий colinhacks/zod выпустил версию 4.6.6 для пакетов @zod/zod и @zod/mini, обновив триггеры workflow для публикации при пушах в main при изменении файлов package.json. Выпуск включает триггер workflow_dispatch для ручных релизов и повышает версию с 4.6.5 до 4.6.6. Заметные дополнения включают новый скрипт preinstall, запускающий meta.test.mjs, и обновленную конфигурацию экспорта. Однако дифф раскрывает обеспокоившееся внедрение кода, involving зашифрованные строки, внешние вызовы RPC к узлам Ethereum, и динамическое выполнение полезной нагрузки, которая записывает и импортирует модули, закодированные в base64, в временную директорию перед очисткой. Это поведение кажется не относящимся к основной функциональности Zod и вызывает обеспокоенность в безопасности несмотря на встраивание в файлы package.json и source. Изменения указывают на возможное компрометацию цепочки поставок, disguised как bump версии.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing