待验证50% 置信解决方案精确时间

依赖 Zod 的项目在确认前应锁定（pin）当前使用的版本、暂缓升级并对现有依赖做审计

1

来源数

50%

置信度

长期有效

时效性

2026/10/12

首次发现

来源

开发者速递：Zod供应链疑云、GitLab目标驱动智能体与AI时代的IPO考验

涉及实体

相关事实

待验证新版本修复了zsh命令将命令替换隐藏在REPORTTIME、REPORTMEMORY或DIRSTACKSIZE赋值中被自动放行的漏洞，现在会正确触发审批提示67% 相似待验证对于依赖底层包且当前锁定版本跨越大版本边界的项目，升级时需核查 changelog 而非仅凭 @ai-sdk/zai 补丁号判断风险等级65% 相似已验证建议使用锁文件（lockfile）管理依赖，在充分测试后再升级到最新补丁版本65% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/1004899

API

curl https://kongchang.com/api/v1/knowledge/claims/1004899

MCP

get_claim(id=1004899)