#security NPM debug 包出现大新闻，任何安装/运行了这个包的电脑均应视为已失陷

1. 10:22 · 2025年9月9日 · 周二

   Forwarded from bupt.moe

   #security
   NPM debug 包出现大新闻，任何安装/运行了这个包的电脑均应视为已失陷。
   
   更新：
   多个npm包的作者 Qix- 被钓鱼，npm账号失陷。黑客上传了多个有恶意代码的npm包。具体包列表可以在以下链接查看：https://github.com/debug-js/debug/issues/1005#issuecomment-3266868187
   
   编者注：考虑到黑客动手的速度之快，可以认为是一次定向的钓鱼攻击。热门包的维护者应该考虑从TOTP转到FIDO2。