https://blog.qife122.com/tags/npm%E5%8C%85%E5%AE%89%E5%85%A8/ Recent content in Npm包安全 on 办公AI智能小助手 Hugo zh-cn qife Thu, 01 Jan 2026 22:03:58 +0800 https://blog.qife122.com/p/%E8%AD%A6%E6%83%95-apidoc-core-%E5%8E%9F%E5%9E%8B%E6%B1%A1%E6%9F%93%E6%BC%8F%E6%B4%9E-cve-2025-13158/ Thu, 01 Jan 2026 22:03:58 +0800 https://blog.qife122.com/p/%E8%AD%A6%E6%83%95-apidoc-core-%E5%8E%9F%E5%9E%8B%E6%B1%A1%E6%9F%93%E6%BC%8F%E6%B4%9E-cve-2025-13158/ <h3 id="漏洞详情">漏洞详情</h3> <p><strong>包管理器：</strong> npm <strong>受影响的包：</strong> apidoc-core <strong>受影响版本：</strong> &gt;= 0.2.0， &lt;= 0.15.0 <strong>已修复版本：</strong> 无 <strong>严重等级：</strong> 严重 (CVSS 评分：9.3)</p> <h3 id="描述">描述</h3> <p>apidoc-core 0.2.0及后续所有版本中存在原型污染漏洞。远程攻击者能够通过恶意构造的数据结构（包括应用程序处理的“define”属性）修改JavaScript对象原型。这可能导致拒绝服务，或影响那些依赖原型链完整性的应用程序的预期行为。该漏洞影响了 <code>api_group.js</code>、<code>api_param_title.js</code>、<code>api_use.js</code> 和 <code>api_permission.js</code> 工作模块中的 <code>preProcess()</code> 函数。</p> https://blog.qife122.com/p/npm%E8%BD%AF%E4%BB%B6%E5%8C%85%E9%80%9A%E8%BF%87%E9%9A%90%E5%86%99%E4%BA%8C%E7%BB%B4%E7%A0%81%E9%9A%90%E8%97%8F%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E7%9A%84%E6%96%B0%E5%9E%8B%E6%94%BB%E5%87%BB%E6%89%8B%E6%B3%95/ Sat, 27 Sep 2025 07:35:55 +0800 https://blog.qife122.com/p/npm%E8%BD%AF%E4%BB%B6%E5%8C%85%E9%80%9A%E8%BF%87%E9%9A%90%E5%86%99%E4%BA%8C%E7%BB%B4%E7%A0%81%E9%9A%90%E8%97%8F%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E7%9A%84%E6%96%B0%E5%9E%8B%E6%94%BB%E5%87%BB%E6%89%8B%E6%B3%95/ <h1 id="npm软件包通过隐写二维码隐藏恶意软件">NPM软件包通过隐写二维码隐藏恶意软件</h1> <p>攻击者以一种新颖方式污染了npm注册表上的代码包，将凭证窃取恶意软件隐藏在声称提供JavaScript实用工具的软件包中的隐写QR码内。</p> <p>根据本周发布的博客文章，Socket Threat Research的研究人员本周初在npm网站上发现了名为&quot;fezbox&quot;的恶意软件包，并请求将其删除以及暂停发布该包的用户。该软件包据称是&quot;按功能模块组织的JavaScript/TypeScript常用辅助函数工具库&quot;，由使用&quot;janedu&quot;网络别名的中文攻击者发布。</p> https://blog.qife122.com/p/%E6%81%B6%E6%84%8Fnpm%E5%8C%85%E7%AA%83%E5%8F%96%E7%94%A8%E6%88%B7%E9%82%AE%E4%BB%B6postmark-mcp%E4%BB%BF%E5%86%92%E5%8C%85%E5%AE%89%E5%85%A8%E4%BA%8B%E4%BB%B6%E5%88%86%E6%9E%90/ Fri, 26 Sep 2025 05:44:37 +0800 https://blog.qife122.com/p/%E6%81%B6%E6%84%8Fnpm%E5%8C%85%E7%AA%83%E5%8F%96%E7%94%A8%E6%88%B7%E9%82%AE%E4%BB%B6postmark-mcp%E4%BB%BF%E5%86%92%E5%8C%85%E5%AE%89%E5%85%A8%E4%BA%8B%E4%BB%B6%E5%88%86%E6%9E%90/ <h1 id="unofficial-postmark-mcp-npm-silently-stole-users-emails">Unofficial Postmark MCP npm silently stole users&rsquo; emails</h1> <p><strong>作者：Bill Toulas</strong></p> <p>2025年9月25日 下午04:23</p> <p>一个仿冒GitHub上官方“postmark-mcp”项目的npm包在最新更新中变更为恶意版本，仅通过添加一行代码就能窃取所有用户的邮件通信。</p>