标签: npm - 66必读

开发者生态 None

npm 正式上线分阶段发布功能，软件包上架前新增人工审核环节

Node.js 默认包管理器 npm 已正式推出分阶段发布 "功能：在已发布版本可供用户安装之前，增加了一个显式的维护者审批环节。与以往的直接发布（发布后立即开放给使用者安装）不同，预构建的压缩包会被上传到一个暂存队列，该队列在 npm

npm stage allow

2026-08-17 作者： Daniel Curtis

安全攻防 None

你的代码里，藏着黑客埋的"毒"：1300个 npm 包遭供应链投毒

ChainDrop 恶意软件感染超 1300 个 npm 包，月下载量达 20 亿次，窃取开发者 npm/GitHub/云凭证并自我传播。同期 Open VSX 发现 77 个伪装成合法工具的恶意扩展。软件供应链正在经历最严重的信任危机。

npm ChainDrop GitHub

2026-08-11 安全客

智能AI None

狂揽2.4万星标：一行命令，AI会自己找技能了

新智元报道【新智元导读】从前是人给AI装能力，如今是AI自己去找。以往，开发者们见面交换的是提示词（prompt）模板。大家在互相打听的，是你该装哪个技能（skill）。这背后，藏着一个更大的转变：AI编程工具，开始「装包」了。今年1月

skills Vercel npm

2026-07-06 新智元

开源推荐 None

GitHub热门项目: hashsigs-ts

GitHub项目：hashsigs-ts 仓库地址：https://github。

the npm coverage

2026-07-05 GitHub Trending

安全攻防 None

被劫持的npm和Go包使用VS Code任务部署Python Infostealer

Cybersecurity researchers have uncovered two hijacked npm packages and a cluster of Go packages that are designed to dep

npm packages and

2026-06-29 info@thehackernews.com (The Hacker News)

安全攻防 None

Miasma 恶意软件在供应链攻击中针对 npm 包和 GitHub 操作

Cybersecurity researchers have flagged yet another evolution of the supply chain attack linked to the Mini Shai-Hulud, M

the and has

2026-06-26 info@thehackernews.com (The Hacker News)

开发者生态 None

VS Code 1.123 新增两小时插件更新缓冲，防范供应链恶意攻击

从 VS Code 1。123 " （6 月 3 日发布）开始，新发布的扩展版本在自动推送更新前会延迟两小时。思路很简单：如果不法分子窃取插件维护者的账号、上传恶意更新包，这两小时缓冲期可以让官方及时发现问题，并在该版本推送给数百万开发者之

Code npm 发现的

2026-06-26 作者：Steef-Jan Wiggers

安全攻防 None

恶意 npm 软件包冒充 PostCSS 工具来传播 Windows RAT

Cybersecurity researchers have discovered a set of malicious npm packages that are designed to deliver a Windows-based r

packages downloads npm

2026-06-23 info@thehackernews.com (The Hacker News)

安全攻防 None

144 个 Mastra npm 软件包通过被劫持的贡献者帐户遭到破坏

As many as 144 npm packages associated with the Mastra namespace ("@mastra/*"), a popular open-source JavaScript and Typ

npm and many

2026-06-17 info@thehackernews.com (The Hacker News)

安全攻防 None

超过 400 个 Arch Linux AUR 劫持用于部署信息窃取器与 eBPF rootkit

逾400个Arch Linux AUR软件包遭劫持用于部署信息窃取器与eBPF rootkit 关注系统安全逾400个Arch Linux AUR软件包遭劫持用于部署信息窃取器与eBPF rootkit 2026-06-13 01:03

Arch AUR rootkit

2026-06-15 FreeBuf

安全攻防 None

GitHub 默认禁用 npm 安装脚本以阻止供应链攻击

GitHub has announced what it said are "breaking changes" coming to npm version 12, one of which turns off install script

install npm the

2026-06-11 info@thehackernews.com (The Hacker News)

数码硬件 None

开发者警惕！全球主流平台npm遭供应链投毒攻击：可窃取云密钥、SSH私钥

快科技5月25日消息，今日，国家网络安全通报中心发文称，监测发现，全球主流JavaScript软件包管理平台npm遭“沙虫”（Shai-Hulud）供应链投毒攻击。据通报，攻击者攻陷了npm官方维护者账户，并在短时间内批量投放大量恶意软件

npm Token antv

2026-05-25 拾柒

安全攻防 None

npm 添加了针对供应链攻击的 2FA 门控发布和包安装控制

GitHub has rolled out new controls for npm to improve the security of the software supply chain, giving maintainers the

the for npm

2026-05-23 info@thehackernews.com (The Hacker News)

开发者生态 None

npm 的分阶段发布和新的安装时控制

Back to changelog Today we’re shipping two updates focused on supply-chain security for npm: Staged publishing is genera

publishing npm the

2026-05-23 brianmcnulty

开发者生态 None

GitHub 为 NPM 引入了分阶段发布和新的安装时控件

Back to changelog Today we’re shipping two updates focused on supply-chain security for npm: Staged publishing is genera

publishing npm the

2026-05-23 brianmcnulty

开发者生态 None

TanStack 披露一起复杂的 npm 供应链攻击事件， 42 个包遭入侵

TanStack " 发布了一份详细的事件回顾报告 "，描述了一次复杂的供应链攻击 "。此次攻击仅用六分钟就攻破了 42 个 npm 包，并发布了 84 个恶意包版本，使开发人员和 CI/CD 系统面临凭证被盗和恶意软件传播的风险。

npm TanStack GitHub

2026-05-22 作者：Craig Risi

安全攻防 None

国务院令第834号已落地：软件供应链安全，企业欠缺的不是工具，是这三件事

首页阅读安全资讯安全知识安全工具活动社区学院安全导航内容精选专栏精选专题安全KER季刊 360网络安全周报国务院令第834号已落地：软件供应链安全，企业欠缺的不是工具，是这三件事阅读量 3508 发布时间 : 2

Nexus 软件供应定期扫描

2026-05-20 塞讯科技

开发者生态 None

Mini Shai-Hulud 再次出击：314 npm 软件包受损

Back to Blog Mini Shai-Hulud Strikes Again: 317 npm Packages Compromised Malware SafeDep Team • May 19, 2026 • 26 min re

the GitHub and

2026-05-19 theanonymousone

安全攻防 None

Mini Shai-Hulud 通过受损的维护者帐户推送恶意 AntV npm 软件包

Cybersecurity researchers have discovered a fresh software supply chain attack campaign that has compromised various npm

attack the npm

2026-05-19 info@thehackernews.com (The Hacker News)

社会热点 None

周下载超 69 万次：热门 npm 包 node-ipc 被投毒，可窃取密码等敏感信息

IT之家 5 月 16 日消息，科技媒体 NeoWin 昨日（5 月 15 日）发布博文，报道称 npm 热门包 node-ipc 遭遇新的供应链攻击，多个新发布版本被植入信息窃取恶意代码。IT之家注：node-ipc 是一个 Node。

node npm ipc

2026-05-16 IT之家

#npm

npm 正式上线分阶段发布功能，软件包上架前新增人工审核环节

你的代码里，藏着黑客埋的"毒"：1300个 npm 包遭供应链投毒

狂揽2.4万星标：一行命令，AI会自己找技能了

GitHub热门项目: hashsigs-ts

被劫持的npm和Go包使用VS Code任务部署Python Infostealer

Miasma 恶意软件在供应链攻击中针对 npm 包和 GitHub 操作

VS Code 1.123 新增两小时插件更新缓冲，防范供应链恶意攻击

恶意 npm 软件包冒充 PostCSS 工具来传播 Windows RAT

144 个 Mastra npm 软件包通过被劫持的贡献者帐户遭到破坏

超过 400 个 Arch Linux AUR 劫持用于部署信息窃取器与 eBPF rootkit

GitHub 默认禁用 npm 安装脚本以阻止供应链攻击

开发者警惕！全球主流平台npm遭供应链投毒攻击：可窃取云密钥、SSH私钥

npm 添加了针对供应链攻击的 2FA 门控发布和包安装控制

npm 的分阶段发布和新的安装时控制

GitHub 为 NPM 引入了分阶段发布和新的安装时控件

TanStack 披露一起复杂的 npm 供应链攻击事件， 42 个包遭入侵

国务院令第834号已落地：软件供应链安全，企业欠缺的不是工具，是这三件事

Mini Shai-Hulud 再次出击：314 npm 软件包受损

Mini Shai-Hulud 通过受损的维护者帐户推送恶意 AntV npm 软件包

周下载超 69 万次：热门 npm 包 node-ipc 被投毒，可窃取密码等敏感信息