Koi Security发现npm包postmark-mcp的1.0.16版本会悄悄把每一封外发邮件BCC到外部地址，在被下架前已被下载1,643次。