已过期50% 置信事实精确时间

2021年的ua-parser-js事件和2022年的node-ipc事件证明攻击者可以通过篡改依赖包或注入恶意依赖来攻击整个下游生态

1

来源数

50%

置信度

中期 (~90 天)

时效性

2026/7/2

首次发现

有效期至：2026/9/30(已过期)

来源

Hooks与Skills：AI编程工作流从手动提醒到自动化系统的升级指南

bilibili林森夏AI2026/5/28

相关事实

待验证2021年的ua-parser-js事件中，攻击者入侵单个被广泛使用的npm包，一次性影响了数以万计的下游项目79% 相似待验证npm生态中的event-stream恶意包事件展示了依赖链污染的破坏力，攻击者接管小型库向下游项目注入恶意代码70% 相似待验证2021年曝光的QNAP NAS勒索软件事件（eCh0raix/QNAPCrypt）中，攻击者利用暴露在公网的管理界面实施攻击，感染量超过数万台67% 相似待验证攻击者计划利用该零日漏洞绕过某未公开平台的双因素认证（2FA）机制，发起大规模利用事件67% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/52841

API

curl https://kongchang.com/api/v1/knowledge/claims/52841

MCP

get_claim(id=52841)