npm包@ctrl/tinycolor遭恶意更新引发大规模供应链攻击

2025-09-16 10:00:39 13

Socket Research Team于9月16日披露，热门npm包@ctrl/tinycolor（周下载量220万次）因恶意更新引发大规模供应链攻击，影响超40个包。受影响包涵盖angulartics2@14.1.2、@ctrl/tinycolor@4.1.1/4.1.2、ngx-color@10.0.2等40余款。Socket强烈建议用户立即卸载或锁定至已知安全版本，全面审查受影响环境，并轮换npm令牌及其他暴露密钥。