Zod 4.6.6 受到恶意软件攻击？

【HN用户评论摘要】 截至 2026-10-12T10:37:51，受感染的代码仍然在 Github 上标记：https://github.com/colinhacks/zod/releases/tag/v4.6.6。请参阅提交 d821685。 受损的代码实际上并未发布。这篇文章有很多信息：https://github.com/orgs/community/discussions/208477 伙计们，这是三周前的事了。这是真正的存储库泄露 - 它到达了 Zod 的 main，但没有到达 npm。 9 月 21 日，有人使用 Colin 的 git 凭证将这个泄露的代码推送到项目中，Colin 抓住了它，并在同一天将其恢复（PR #6620）。他随后于 10 月 11 日发布了 4.6.6，但它不包含受感染的代码。顺便说一句，Zod 并不是唯一的目标软件包 - 针对标准模式和 nub 也尝试了相同的攻击。 Nub 确实进入了 npm，但是 npm 的恶意软件 可能很温和，它被感染了 - 编辑：标题已更改，它说“可能被感染”。该恶意软件似乎会在安装 zod 时注入一些 JS 负载来执行，方法是从以太坊智能合约中获取它（如果我理解正确的话）。不要忘记在 npm 上标记版本。编辑：看起来 NPM 上从未获得过更新：https://news.ycombinator.com/item?id=50053253 最新版本 4.6.6 有一个非常有趣的提交（d821685）“修复错误并提高性能”，其中包含以下更改https://github.com/colinhacks/zod/commit/d821685ea6732436fcd...我没有特别研究packages/mini/meta.test.mjs正在做什么，但看起来不太好 原始链接: https://github.com/colinhacks/zod/commit/d821685ea6732436fcdf786a81d076958471e467