发现恶意 npm 包 'esbuild-linux-arm32' — 建议立即审计和清理

关键更新

在 2025 年 8 月 14 日，一个名为 esbuild-linux-arm32 的 npm 包被识别为包含恶意代码 (OSV 条目 MAL-2025-19818)。这不是上游 esbuild 代码库中的错误，而是一个恶意或被破坏的包，在 npm 命名空间中，可以通过松散的依赖关系图、镜像/代理配置错误或粗心的安装被引入到项目中。

重要性

esbuild 嵌入在许多前端工具链中（Vite、框架、构建工具）。在你的依赖关系图中，恶意的 esbuild-* 二进制包意味着攻击者可以在安装过程中或当开发服务器/二进制文件运行时执行任意代码，这可能导致代码被窃取、秘密外泄或供应链持久性。实际的立即行动：检查你的锁定文件和 node_modules 中是否有任何你未预期的 esbuild-* 包，从固定的锁定文件运行 npm ci（或等效命令），而不是安装不受信任的新包，移除任何 esbuild-linux-arm32 包，更换可用的凭证，并在 CI 中添加包/名称白名单或包来源检查。对于团队，强制使用严格的锁定文件，缓存或镜像受信任的包，并添加自动扫描以检测恶意/不匹配的包名称。

来源

• 来源