🚨 axios npm 供應鏈攻擊
📅 2026-03-30
05:57 UTC — 攻擊者帳號 [email protected] 發佈 [email protected]（誘餌包），建立 npm 發佈歷史以避免安全掃描警報。
23:59 UTC — 發佈 [email protected]，植入惡意 postinstall 鉤子與混淆的 RAT 下載器 setup.js。
📅 2026-03-31
00:21 UTC — 透過被盜的維護者帳號 jasonsaayman（信箱已改為 [email protected]）發佈 [email protected]，注入惡意依賴 [email protected]。
01:00 UTC — 同一帳號發佈 [email protected]（舊版 0.x 分支），39 分鐘內兩條發行線全部中招。
source https://socket.dev/blog/axios-npm-package-compromised
8
2
1March 31, 2026 1.4K 4 2
