Zod colinhacks/zod 仓库发布了 4.6.6 版本，适用于 @zod/zod 和 @zod/mini 包。更新了工作流触发器，在 package.json 文件变更时推送到 main 分支时发布。发布包含 workflow_dispatch 触发器以进行手动发布，并将版本从 4.6.5 升级至 4.6.6。显著新增包括运行 meta.test.mjs 的新预安装脚本和更新后的导出配置。然而，diff 揭示了令人担忧的代码注入：涉及加密字符串、对以太坊节点的外部 RPC 调用以及动态有效载荷执行。这些行为在临时目录中写入并导入 base64 编码的模块，随后清理。这种行为与 Zod 的核心功能无关，尽管嵌入在 package.json 和源文件中，仍引发安全担忧。变更表明可能存在伪装成版本升级的供应链妥协。
来源: Hacker News · 由HeadlinesBriefing整理摘要