NPM 包「@ctrl/tinycolor」遭供应链攻击，并插入信息窃取脚本

Techub News 消息，据 Scam Sniffer 监测，安全研究团队发现 NPM 包「@ctrl/tinycolor」在一个影响 40 多个依赖包的供应链攻击中被恶意篡改，受影响版本在 postinstall 脚本中添加了「bundle.js」脚本，该脚本会运行 TruffleHog 工具扫描主机中的敏感凭证和云端凭证，将结果外泄至硬编码 webhook；受影响包包括 @ctrl/tinycolor@4.1.1 与 @4.1.2 等，下载量约每周 220 万次，已波及多个下游依赖包。用户应立即检查是否安装了这些受影响版本，暂停更新，并锁定安全版本。