ZONE.CI 全球网

本文解析DSH插件市场npm包dsh-plugin-blender-3d遭供应链投毒事件：恶意版本0.2.1植入postinstall钩子下载S3载荷释放XMRig挖矿程序，同源包@walknpm/todo-cli携带字节级相同脚本，归因倾向于npm发布凭据泄露。处置为移除恶意版本并回退latest，建议用户排查受影响主机，维护者将install脚本检查固化为自动检查。该事件为针对dsh前缀npm包的持续投毒浪潮之一，暴露版本与名字不受约束的结构缺口。