速度升级新版本！两款知名国产前端开源项目被植入恶意代码-孤魂野鬼网

速度升级新版本！两款知名国产前端开源项目被植入恶意代码

时间：2024-12-24 00:17:28 来源：孤魂野鬼网

12月20日消息，速度升级据报道，新版前端开发社区近日遭遇严重供应链安全事件，本两有赞开源组件库Vant和字节跳动开源的款知前端打包工具Rspack多个版本被植入恶意代码。

12月19日，名国目被Vant项目维护者在GitHub上发布公告，产前称因团队成员的端开代码npm token被盗用，攻击者向Vant的源项多个版本中注入了恶意脚本代码，并发布至npm仓库。植入

速度升级新版本！两款知名国产前端开源项目被植入恶意代码

此次安全事件导致攻击者进一步获取了同一GitHub组织下Rspack维护者的恶意npm token，并发布了含有恶意代码的速度升级Rspack 1.1.7版本。

不过Rspack团队在一小时内便废弃了受影响版本，新版并发布了1.1.8修复版本，本两目前，款知所有相关token已清理，名国目被两个项目均已发布修复版本。

受影响的Vant版本包括4.9.11-4.9.14、3.6.13-3.6.15、2.13.3-2.13.5，安全版本为4.9.15、3.6.16、2.13.6。

Rspack受影响版本为@rspack/core: 1.1.7和@rspack/cli: 1.1.7，安全版本为1.1.8。