#前端 #供应链攻击 #npm #安全 #新动态
想必大家都看麻了x
早用 pnpm 早超生，俩周以内的依赖更新不装（（
Active Supply Chain Attack Compromises @antv Packages on npm：npm 上的 AntV 可视化库包被植入恶意代码，构成活跃的供应链攻击。
[以下是方便搜索索引的大纲(AI 生成)，请读原文]
想必大家都看麻了x
早用 pnpm 早超生，俩周以内的依赖更新不装（（
Active Supply Chain Attack Compromises @antv Packages on npm：npm 上的 AntV 可视化库包被植入恶意代码，构成活跃的供应链攻击。
AI 摘要：2026 年 5 月，Socket Research Team 发现 @antv 系列 npm 包遭到供应链攻击，攻击者发布恶意版本，通过 postinstall 脚本窃取环境变量和 npm token，影响 @antv/g6、@antv/util 等多个核心包，建议用户立即版本锁定并轮换密钥。
[以下是方便搜索索引的大纲(AI 生成)，请读原文]
1. 攻击事件概览
• 2026 年 5 月 11–19 日期间，大量 @antv 子包集中发布恶意版本，时间戳显示攻击窗口集中。
• Socket 安全团队通过实时包监控（package monitoring）发现异常发布行为并发出警报。
2. 攻击手法与技术细节
• 恶意代码嵌入 postinstall 钩子，安装时自动执行，窃取系统环境变量、npm token 及敏感配置。
• 攻击者利用泄露的维护者凭据或通过社会工程学获取 npm 发布权限。
3. 受影响包范围
• 涉及 @antv/scale、@antv/attr、@antv/component、@antv/g6 等数十个包的多个版本。
• 所有在 2026-05-11 至 2026-05-19 时间窗口内发布的版本均为恶意版本。
4. 紧急缓解措施
• 锁定依赖版本，避免使用上述时间窗口内的版本。
• 运行 npm audit 或使用 Socket 工具扫描项目并移除受影响包。
• 立即轮换所有可能泄露的 npm token、环境变量及 API 密钥。
• 关注 AntV 官方后续安全公告，升级到修复后的版本。
Socket
Mini Shai-Hulud Hits @antv Ecosystem, 639 Compromised npm Pa...
Active npm supply chain attack compromises @antv packages in a fast-moving malicious publish wave tied to Mini Shai-Hulud.
chalk 和 chokidar 均为 npm 上著名包。
GitHub 项目 AFFiNE 近日从一个 PR 发现项目开发者曾误引入一个名为 chalk-next 的恶意包（与此 PR 似乎无关），此 chalk-next 包包含尝试收集/检查系统环境变量及删除文件的投毒代码 [1]。有 Twitter 用户分析后提到 [2]，疑似同一位作者还发布了包含类似行为，名为 chokidar-next 的包 [4]。
从 chokidar-next 包作者 [5] 其它包元信息指向的 GitHub 用户来看，这两个包的目的似乎是检测 vue-admin-beautiful 付费版本盗版用户并删除其代码 [6]。
目前 chalk-next 和 chokidar-next 均被标记为 "Security holding package" [7][8]。
1. https://github.com/toeverything/AFFiNE/pull/668
2. https://twitter.com/yihong0618/status/1610919470410928133
3. https://www.npmjs.com/org/chu1204505056
4. web.archive.org/~
5. web.archive.org/~
6. https://github.com/chuzhixin/chalk-next
7. https://www.npmjs.com/package/chalk-next
8. https://www.npmjs.com/package/chokidar-next
#npm #vueadminbeautiful #OpenSource #Ecosystem #SupplyChain #Security
GitHub 项目 AFFiNE 近日从一个 PR 发现项目开发者曾误引入一个名为 chalk-next 的恶意包（与此 PR 似乎无关），此 chalk-next 包包含尝试收集/检查系统环境变量及删除文件的投毒代码 [1]。有 Twitter 用户分析后提到 [2]，疑似同一位作者还发布了包含类似行为，名为 chokidar-next 的包 [4]。
从 chokidar-next 包作者 [5] 其它包元信息指向的 GitHub 用户来看，这两个包的目的似乎是检测 vue-admin-beautiful 付费版本盗版用户并删除其代码 [6]。
目前 chalk-next 和 chokidar-next 均被标记为 "Security holding package" [7][8]。
1. https://github.com/toeverything/AFFiNE/pull/668
2. https://twitter.com/yihong0618/status/1610919470410928133
3. https://www.npmjs.com/org/chu1204505056
4. web.archive.org/~
5. web.archive.org/~
6. https://github.com/chuzhixin/chalk-next
7. https://www.npmjs.com/package/chalk-next
8. https://www.npmjs.com/package/chokidar-next
#npm #vueadminbeautiful #OpenSource #Ecosystem #SupplyChain #Security
