Zod 4.6.6 compromised by malware?

The colinhacks/zod repository released version 4.6.6 for both @zod/zod and @zod/mini packages, updating workflow triggers to publish on pushes to main when package.json files change. The release includes a workflow_dispatch trigger for manual releases and bumps the version from 4.6.5 to 4.6.6. Notable additions include a new preinstall script running meta.test.mjs and updated exports configuration.

However, the diff reveals a concerning code injection involving encrypted strings, external RPC calls to Ethereum nodes, and dynamic payload execution that writes and imports base64-encoded modules into a temporary directory before cleanup. This behavior appears unrelated to Zod’s core functionality and raises security concerns despite being embedded in package.json and source files. The changes suggest a potential supply chain compromise disguised as a version bump.

أطلق مستودع colinhacks/zod الإصدار 4.6.6 لكل من حزم @zod/zod و @zod/mini، وقام بتحديث محفزات العمل لنشرها عند الدفع إلى main عند تغيير ملفات package.json. يتضمن الإصدار محفز workflow_dispatch للإصدارات اليدوية ويرفع الإصدار من 4.6.5 إلى 4.6.6. تتضمن الإضافات البارزة سكربت preinstall جديد يعمل على meta.test.mjs وتحديث配置 التصدير. ومع ذلك، يكشف diff عن حقن kode مقلق يتضمن سلاسل مشفرة، مكالمات RPC خارجية إلى عقد Ethereum، وتنفيذ حمولات ديناميكية تكتب وتستوردModules مشفرة إلى Base64 إلى Directory مؤقت قبل التنظيف. يبدو هذا السلوك غير مرتبط بوظائف Zod الأساسية ويثير مخاوف أمنية على الرغم من Embedded في ملفات package.json والمصدر. تشير التغييرات إلى احتمال اختراق سلسلة التوريد مخفي على شكل bump للإصدار.

Zod colinhacks/zod repository released version 4.6.6 for both @zod/zod and @zod/mini packages, updating workflow triggers to publish on pushes to main when package.json files change. The release includes a workflow_dispatch trigger for manual releases and bumps the version from 4.6.5 to 4.6.6. Notable additions include a new preinstall script running meta.test.mjs and updated exports configuration.

However, the diff reveals a concerning code injection involving encrypted strings, external RPC calls to Ethereum nodes, and dynamic payload execution that writes and imports base64-encoded modules into a temporary directory before cleanup. This behavior appears unrelated to Zod’s core functionality and raises security concerns despite being embedded in package.json and source files. The changes suggest a potential supply chain compromise disguised as a version bump.

Das colinhacks/zod-Repository hat Version 4.6.6 für beide Pakete @zod/zod und @zod/mini veröffentlicht und dabei Workflow-Auslöser aktualisiert, die bei Änderungen an package.json-Dateien auf Pushes in den main-Zweig veröffentlichen. Das Release enthält einen workflow_dispatch-Auslöser für manuelle Releases und erhöht die Version von 4.6.5 auf 4.6.6. Bemerkenswerte Ergänzungen sind ein neues preinstall-Skript, das meta.test.mjs ausführt, und eine aktualisierte Exportkonfiguration.

Allerdings offenbart der diff besorgniserregenden Code-Injection, der verschlüsselte Zeichenfolgen, externe RPC-Aufrufe an Ethereum-Knoten und die dynamische Ausführung von Nutzlasten beinhaltet, die base64-kodierte Module in einen temporären Verzeichnis schreiben und importieren, bevor sie bereinigt werden. Dieses Verhalten scheint nichts mit Zods Kernfunktionalität zu tun zu haben, obwohl es in package.json und Quelldateien eingebettet ist, und wirft Sicherheitsbedenken auf. Die Änderungen deuten auf eine mögliche Lieferkettenkompromittierung hin, die als Versionssprung getarnt ist.

El repositorio colinhacks/zod lanzó la versión 4.6.6 para los paquetes @zod/zod y @zod/mini, actualizando los disparadores de flujo de trabajo para publicar en empujes a main cuando los archivos package.json cambian. El lanzamiento incluye un disparador workflow_dispatch para lanzamientos manuales y incrementa la versión de 4.6.5 a 4.6.6. Notablemente, se agrega un nuevo script preinstal que ejecuta meta.test.mjs y se actualiza la configuración de exportaciones.

Sin embargo, el diff revela una preocupante inyección de código que involucra cadenas cifradas, llamadas RPC externas a nodos de Ethereum y ejecución de cargas útiles dinámicas que escriben e importan módulos codificados en base64 a un directorio temporal antes de limpiar. Este comportamiento parece ajeno a la funcionalidad central de Zod y genera preocupaciones de seguridad a pesar de estar incrustado en los archivos package.json y fuente. Los cambios sugieren una posible compromisión de la cadena de suministro disfrazada como actualización de versión.

Le dépôt colinhacks/zod a publié la version 4.6.6 pour les packages @zod/zod et @zod/mini, mettant à jour les déclencheurs de workflow pour publier sur les pushes vers main lorsque les fichiers package.json changent. Le lancement comprend un déclencheur workflow_dispatch pour les releases manuels et augmente le numéro de version de 4.6.5 à 4.6.6. Des ajouts notables incluent un nouveau script preinstall exécutant meta.test.mjs et une configuration d'exportations mise à jour.

Cependant, la diff révèle une injection de code préoccupante impliquant des chaînes cryptées, des appels RPC externes vers des nœuds Ethereum, et exécution de charge utile dynamique qui écrit et importe des modules codés en base64 dans un répertoire temporaire avant nettoyage. Ce comportement semble sans rapport avec la fonctionnalité centrale de Zod et soulève des préoccupations de sécurité malgré qu'il soit incorporé dans les fichiers package.json et source. Les modifications suggèrent une possible compromission de la chaîne d'approvisionnement déguisée en bump de version.

Zod colinhacks/zod repository released version 4.6.6 for both @zod/zod and @zod/mini packages, updating workflow triggers to publish on pushes to main when package.json files change. The release includes a workflow_dispatch trigger for manual releases and bumps the version from 4.6.5 to 4.6.6. Notable additions include a new preinstall script running meta.test.mjs and updated exports configuration.

However, the diff reveals a concerning code injection involving encrypted strings, external RPC calls to Ethereum nodes, and dynamic payload execution that writes and imports base64-encoded modules into a temporary directory before cleanup. This behavior appears unrelated to Zod’s core functionality and raises security concerns despite being embedded in package.json and source files. The changes suggest a potential supply chain compromise disguised as a version bump.

Repositori colinhacks/zod merilis versi 4.6.6 untuk kedua paket @zod/zod dan @zod/mini, memperbarui trigger workflow untuk menerbitkan saat push ke main ketika file package.json berubah. Rilis mencakup trigger workflow_dispatch untuk rilis manual dan menaikkan versi dari 4.6.5 ke 4.6.6. Penambahan yang menonjol meliputi script preinstall baru yang menjalankan meta.test.mjs dan konfigurasi export yang diperbarui.

Namun, diff mengungkapkan kode penyuntikan yang khawatirkan melibatkan string terenkripsi, panggilan RPC luar ke node Ethereum, dan eksekusi payload dinamis yang menulis dan mengimpor module terenkripsi base64 ke dalam direktori sementara sebelum pembersihan. Perilaku ini tampaknya tidak berhubungan dengan inti fungsionalitas Zod dan memicu kekhawatir keamanan meskipun ditempatkan di file package.json dan source. Perubahan ini menyarankan kompromi sisi rantai pasokan yang terdisguise sebagai bump versi.

Zod colinhacks/zod リポジトリは、@zod/zod と @zod/mini の両方に対してバージョン 4.6.6 をリリースし、package.json ファイルが変更された場合に main へのプッシュ時に公開するようにワークフロー トリガーを更新しました。リリースには手動リリース用の workflow_dispatch トリガーが含まれ、バージョンを 4.6.5 から 4.6.6 に上げています。注目すべき追加機能には、meta.test.mjs を実行する新しい preinstall スクリプトと更新されたエクスポート構成が含まれます。ただし、diff は暗号化された文字列、イーサリアムノードへの外部 RPC コール、およびベース64でエンコードされたモジュールを一時ディレクトリに書き込んでインポートする動的ペイロード実行に関連する懸念すべきコード注入を明らかにしています。この動作は Zod のコア機能とは無関係であるように見られ、package.json とソースファイルに埋め込まれているにもかかわらずセキュリティ上の懸念を引き起こします。変更はバージョンアップとして偽装された潜在的なサプライチェーン compromise を示唆しています。

O repositório colinhacks/zod lançou a versão 4.6.6 para os pacotes @zod/zod e @zod/mini, atualizando os gatilhos de workflow para publicar em pushes para main quando os arquivos package.json mudam. O lançamento inclui um gatilho workflow_dispatch para releases manuais e incrementa a versão de 4.6.5 a 4.6.6. Adições notáveis incluem um novo script preinstall executando meta.test.mjs e configuração de exportações atualizada.

No entanto, o diff revela uma injeção de código preocupante envolvendo strings criptadas, chamadas RPC externas a nós do Ethereum e execução de carga útil dinâmica que escreve e importa módulos codificados em base64 em um diretório temporário antes de limpeza. Este comportamento parece não ter relação com a funcionalidade central do Zod e levanta preocupações de segurança apesar de estar incorporado nos arquivos package.json e source. As mudanças sugerem uma possível compromissão da cadeia de suprimentos disfarçada de bump de versão.

Репозиторий colinhacks/zod выпустил версию 4.6.6 для пакетов @zod/zod и @zod/mini, обновив триггеры workflow для публикации при пушах в main при изменении файлов package.json. Выпуск включает триггер workflow_dispatch для ручных релизов и повышает версию с 4.6.5 до 4.6.6. Заметные дополнения включают новый скрипт preinstall, запускающий meta.test.mjs, и обновленную конфигурацию экспорта. Однако дифф раскрывает обеспокоившееся внедрение кода, involving зашифрованные строки, внешние вызовы RPC к узлам Ethereum, и динамическое выполнение полезной нагрузки, которая записывает и импортирует модули, закодированные в base64, в временную директорию перед очисткой. Это поведение кажется не относящимся к основной функциональности Zod и вызывает обеспокоенность в безопасности несмотря на встраивание в файлы package.json и source. Изменения указывают на возможное компрометацию цепочки поставок, disguised как bump версии.

Zod colinhacks/zod 仓库发布了 4.6.6 版本，适用于 @zod/zod 和 @zod/mini 包。更新了工作流触发器，在 package.json 文件变更时推送到 main 分支时发布。发布包含 workflow_dispatch 触发器以进行手动发布，并将版本从 4.6.5 升级至 4.6.6。显著新增包括运行 meta.test.mjs 的新预安装脚本和更新后的导出配置。然而，diff 揭示了令人担忧的代码注入：涉及加密字符串、对以太坊节点的外部 RPC 调用以及动态有效载荷执行。这些行为在临时目录中写入并导入 base64 编码的模块，随后清理。这种行为与 Zod 的核心功能无关，尽管嵌入在 package.json 和源文件中，仍引发安全担忧。变更表明可能存在伪装成版本升级的供应链妥协。