Zod 4.6.6 提交被指植入恶意代码
Hacker News 上有人指出 Zod 4.6.6 的提交疑似被植入恶意代码，diff 中新增了 meta.test.mjs 文件，并在 zod 与 @zod/mini 的 package.json 中加入 preinstall 脚本执行该文件。
推荐理由：提交记录展示了恶意代码如何借 preinstall 脚本进入 npm 包，可帮助开发者识别同类供应链攻击手法。
#开源生态
Hacker News精选AI 评分7878 Hacker News精选AI 评分8383 开源 React 调试工具 Reactime 仓库被植入后门，22 个分支中 20 个受影响
Deep Woods Security 披露，Codesmith 旗下 Open Source Labs 的开源 React 调试工具 Reactime 仓库被植入后门，22 个分支中有 20 个携带植入物，仅 master 和 dev 干净。
推荐理由：完整还原了 Reactime 仓库被植入后门的攻击链，并给出可自查的 IOC 与检测规则。
Hacker News精选AI 评分7878 CVE-2026-23870：单个 POST 请求可冻结 Next.js 服务器
作者披露 React Server Components 表单解析中的拒绝服务漏洞 CVE-2026-23870：每个 $K 嵌套表单指针都会完整遍历一次请求字段列表，发送 10000 个指针加 10000 个字段约 900 KB 的请求即可触发上亿次字符串检查，阻塞 Node.js 单线程。
推荐理由：作者以第一手复现记录拆解 React Server Components 表单解析的复杂度问题，并给出受影响版本与修复方式。
Hacker News精选AI 评分7878 Tensorlake npm 包遭 Mini Shai-Hulud 蠕虫投毒
安全公司 SafeDep 在 Tensorlake 的 npm 包中发现凭据窃取蠕虫 Mini Shai-Hulud，该版本在安装时即运行，npm 曾将其作为月下载量约 106,000 的包的最新版本分发。
推荐理由：原文完整还原了攻击者绕过 npm token、借 GitHub 网页提交与发布流程投毒的时间线，可看到供应链攻击的新路径。
已经到底了