待验证50% 置信事实精确时间
Bumply 在执行更新前对项目的 package.json 和 lockfile 进行逐字节（byte-for-byte）备份，并在更新失败时立即回滚
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/8/26
首次发现
有效期至：2026/11/24
来源
涉及实体
相关事实
待验证版本锁定文件（package-lock.json或yarn.lock）无法完全阻断供应链攻击，因为新建项目首次安装仍会拉取被污染版本，且自动化更新工具可能升级至恶意版本65% 相似待验证shadcn/ui 采用「复制代码到本地」而非「npm包依赖」的分发模式，消除了版本锁定问题59% 相似待验证该RoPE Bug已被修复并提交了相应的代码更新56% 相似待验证格式化或分区丢失场景选择支持RAW恢复/文件签名识别的软件(如R-Studio、DiskGenius)，普通回收站类恢复软件对格式化后的分区几乎无效56% 相似待验证备份软件若长期不更新（超过1年未适配新iOS/Android版本）不要用于新机，可能因系统API变更导致数据损坏或迁移中断56% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/802972API
curl https://kongchang.com/api/v1/knowledge/claims/802972MCP
get_claim(id=802972)