事件概述2026 年 3 月 31 日，著名云安全平台 StepSecurity 监测到，在 JavaScript 生态系统中最受欢迎的 HTTP 客户端库 Axios（每周下载量超 3 亿次）遭遇了严重的供应链攻击。攻击者劫持了 Axios 核心维护者（jasonsaayman）的 npm 账户，并在 npm 官方仓库发布了两个被污染的恶意版本：[email protected] 和 [email protected] ...

近日，前端与Node.js生态中广泛使用的 axios库遭遇了一次严重的 供应链投毒攻击，波及范围极广。 攻击者并非利用代码漏洞，而是直接入侵了维护者账号，发布了恶意版本。 这次事件对开发者的影响深远，值得所有开发者警惕。 axios作为前端和 Node.js开发中最常用的 HTTP 请求库，其重要性不言而喻。 此次事故并非库本身逻辑缺陷，而是账号权限失守引发的恶意投毒，危害直接且传播极快。 一、 ...

针对流行扫描工具Trivy的供应链攻击背后的威胁行为者，被怀疑正在进行后续攻击，导致大量npm包遭到破坏，其中包含一个此前未被记录的自传播蠕虫病毒，名为CanisterWorm。

朝鲜这个国家，在大多数人的认知里应该是相当封闭落后的。但他们的网络攻击能力，一直被严重低估。从 2014 年的索尼影业攻击，到 2017 年的 WannaCry 勒索病毒，再到这次对 npm 生态的精准打击，朝鲜黑客的技术水平和作战纪律一点也不「落后」。

IT之家 3 月 31 日消息，安全研究机构 StepSecurity 昨天发文称，主流 JavaScript 库 Axios 的两个 npm 版本 [email protected]、[email protected] 被恶意植入远程控制代码。 IT之家在此援引 StepSecurity，黑客劫持了 Axios 核心维护者“jasonsaayman”的 npm 账号，将邮箱替换为匿名的 ProtonMail ...

Axios库遭黑客劫持，npm被植入远程木马！恶意版本[email protected]/0.30.4通过虚假依赖执行后门脚本，窃取系统权限。立即检查版本 ...

Microsoft is acquiring Node package manager npm Inc., officials announced on March 16. (Neither company is sharing the purchase price.) Microsoft plans to integrate GitHub with npm with the intent of ...

The Node Package Manager (npm) team avoided a disaster today when it discovered and blocked the distribution of a cleverly hidden backdoor mechanism inside a popular —albeit deprecated— JavaScript ...