当前位置： 首页 > article >正文

NPM组件包 vant部分版本内嵌挖矿代码

article 2025/1/3 4:36:45

Vant 是一个轻量、可定制的移动端组件库，于 2017 年开源。
目前 Vant 官方提供了 Vue 2 版本、Vue 3 版本和微信小程序版本，并由社区团队维护 React 版本和支付宝小程序版本。
Vant 2 版本：https://vant-ui.github.io/vant/v2/#/zh-CN/home
Vant 3 版本：https://vant-ui.github.io/vant/v3/#/zh-CN/home
Vant 4 版本：https://vant-ui.github.io/vant/#/zh-CN/home

漏洞描述：

由于开发者团队成员的 npm token被窃取，攻击者向 Vant 组件植入挖矿代码，当用户安装投毒版本时会下载并执行挖矿程序xmrig(钱包地址：475NBZygwEajj4YP2Bdu7yg6XnaphiFjxTFPkvzg5xAjLGPSakE68nyGavn8r1BYqB44xTEyKQhueeqAyGy8RaYc73URL1j)，并窃取用户云服务凭据( /.aliyun/config.json、/.hcloud/config.json 以及 ~/.tccli/default.credential文件)并发送到攻击者可控的服务器地址。

影响范围：

2.13.3 <= npm版本 <= 2.13.5
3.6.13 <= npm版本 <= 3.6.15
4.9.11 <= npm版本 <= 4.9.14
版本

修复建议：

开发者团队当前已弃用上述版本，如使用过上述版本的请进行自检

参考链接：

https://github.com/youzan/vant/issues/13275
https://github.com/youzan/vant/discussions/13273


http://www.kler.cn/a/458855.html

相关文章：

  • GeoTrust True BusinessID Wildcard
  • 【面试系列】深入浅出 Spring Boot
  • win11 vs2022 opencv 4.10使用vs Image Watch插件实时可视化内存mat对象
  • CSS 图片廊：网页设计的艺术与技巧
  • DeepSeek V3“报错家门”：我是ChatGPT
  • [JAVA]MyLogger
  • 《燕云十六声》d3dcompiler_47.dll缺失怎么解决？
  • 深度学习中的HTTP：从请求到响应的计算机网络交互
  • JVM实战—5.G1垃圾回收器的原理和调优
  • windows 下通过脚本方式实现 类似 Linux keepalived IP 动态绑定效果
  • 有限元分析学习——Anasys Workbanch第一阶段笔记（2）应力奇异及位移结果对比、初步了解单元的基本知识
  • JVM的详细介绍
  • 【机器学习】 卷积神经网络 (CNN)
  • 基于Docker基础与操作实战
  • 【WdatePicker】选择不能小于当天
  • 深度学习模型格式转换：pytorch2onnx（包含自定义操作符）
  • 当现代教育技术遇上仓颉---探秘华为仓颉编程语言与未来教育技术的接轨
  • 电子电器架构 ---什么是智能电动汽车上的BMS?
  • VScode怎么重启
  • C# init 关键字的使用
  • 【ArcGIS Pro/GeoScene Pro】可视化时态数据
  • javaweb线上问题排查（若依定时任务）
  • 分布式版本管理工具——git 中忽略文件的版本跟踪（初级方法及高级方法）
  • 进程、线程和协程是什么，以及他们之间的区别
  • K-means 聚类：Python 和 Scikit-learn实现
  • uniapp 微信小程序开发使用高德地图定位SDK