行业新闻

2025 年 7 月 18 日，一个每周下载量超过 3100 万次的可信 JavaScript 库 eslint-config-prettier 在一次有针对性的供应链攻击中被人利用，这凸显了开源生态系统的脆弱性。这次漏洞始于一封钓鱼邮件，该邮件诱使维护者泄露了他们的令牌。攻击者利用暴露的凭证发布了未经授权的软件包版本，其中包含一个安装后脚本，可在安装过程中在 Windows 机器上执行木马 DLL。