IT之家 3 月 31 日消息，安全研究机构 StepSecurity 昨天发文称，主流 JavaScript 库 Axios 的两个 npm 版本 axios@1.14.1、axios@0.30.4 被恶意植入远程控制代码。

事件概述2026 年 3 月 31 日，著名云安全平台 StepSecurity 监测到，在 JavaScript 生态系统中最受欢迎的 HTTP 客户端库 Axios（每周下载量超 3 亿次）遭遇了严重的供应链攻击。攻击者劫持了 Axios ...

IT之家3 月 31 日消息，安全研究机构 StepSecurity 昨天发文称，主流 JavaScript 库 Axios 的两个 npm 版本 axios@1.14.1、axios@0.30.4 被恶意植入远程控制代码。 IT之家在此援引 StepSecurity，黑客劫持了 Axios 核心维护者“jasonsaayman”的 npm 账号，将邮箱替换为匿名的 ProtonMail ...

近日，安全领域传来令人震惊的消息，主流Java库 Axios 的两个npm版本遭到恶意植入远程控制代码的攻击。这一事件不仅暴露了 npm 供应链的脆弱性，也再次提醒了开发者们对开源依赖的安全性保持高度警惕。

在苹果 macOS 上，恶意程序会被下载到/Library/Caches/com.apple.act.mond 目录，伪装成系统文件在后台运行；而在微软 Windows 则是先运行 where powershell 指令，定位二进制路径并复制到 % ...

网络安全研究人员在npm注册表中发现了36个恶意包，这些包伪装成Strapi CMS插件，但携带不同的有效载荷，用于Redis和PostgreSQL利用、部署反向Shell、收集凭据并投放持久化植入程序。

2026年3月31日，两个恶意版本的流行JavaScript HTTP库Axios被短暂发布到npm仓库。这两个版本均包含隐藏依赖项，可在macOS、Windows和Linux系统上安装远程访问木马（RAT）。此次攻击并未利用Axios代码本身的漏洞 ...

2026 年 3 月 31 日，npm 生态系统遭遇了最严重的供应链攻击之一：Axios这个每周下载量超过 1 亿次的 HTTP 客户端库的两个版本被发现包含一个完全可用的远程访问木马。受影响的版本 axios@1.14.1 和 axios@0.30 ...

永信至诚「数字风洞」安全团队监测到一起Node.js供应链投毒事件。 攻击者向npm仓库上传了axios的两个恶意版本（1.14.1和0.30.4），这些版本在安装时会自动拉取恶意依赖包plain-crypto-js@4.2.1 ...