已验证65% 置信事实精确时间
NPM供应链攻击的常见手法包括typosquatting、劫持废弃的合法包、以及钓鱼获取维护者账号后植入恶意版本
3
来源数
65%
置信度
长期有效
时效性
2026/9/21
首次发现
来源
涉及实体
相关事实
待验证npm、PyPI 等生态都发生过基础包被植入恶意代码或维护者账号被劫持的供应链攻击事件78% 相似待验证恶意开发者的供应链攻击包括域名近似劫持、工具名称冲突、偏好诱导攻击、工具投毒、跑路服务、跨服务器影子劫持、命令注入等72% 相似待验证近年来发生的开源供应链安全事件包括npm生态的恶意包投毒、PyPI的钓鱼攻击以及XZ Utils后门事件70% 相似待验证npm生态中的event-stream恶意包事件展示了依赖链污染的破坏力，攻击者接管小型库向下游项目注入恶意代码69% 相似待验证供应链投毒可通过在公开 npm/PyPI 包的描述字段中嵌入提示注入指令或向开源仓库提交含恶意注释的 Pull Request 来污染 Agent 自动消费的上游资源69% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/939483API
curl https://kongchang.com/api/v1/knowledge/claims/939483MCP
get_claim(id=939483)