SlowMist: Atención a la detección de las versiones maliciosas de axios 1.14.1 / 0.30.4 y al riesgo de exposición en el historial de instalaciones globales de npm de OpenClaw

Noticias ME, 31 de marzo (UTC+8). A 31 de marzo de 2026, la información pública disponible muestra que axios@1.14.1 y axios@0.30.4 han sido confirmadas como versiones maliciosas. Ambas han sido inyectadas con dependencias adicionales plain-crypto-js@4.2.1; esta dependencia puede implementar cargas útiles maliciosas multiplataforma mediante el script postinstall. El impacto de este incidente en OpenClaw debe evaluarse por escenarios:

1）Escenario de compilación desde el código: no se ve afectado. El archivo de bloqueo v2026.3.28 realmente bloquea axios@1.13.5 / 1.13.6, y no coincide con las versiones maliciosas.

2）Escenario: npm install -g openclaw@2026.3.28: existe riesgo de exposición histórica. La razón es que en la cadena de dependencias existe: openclaw -> @line/bot-sdk@10.6.0 -> optionalDependencies.axios@^1.7.4. Durante la ventana de tiempo en la que las versiones maliciosas aún estaban en línea, es posible que se resuelva axios@1.14.1.

3）Resultado de la reinstalación actual: npm ha revertido la resolución a axios@1.14.0, pero en los entornos donde se instaló dentro de la ventana de ataque, aún se recomienda tratarlo como un escenario afectado y revisar IoC.

Además, la alerta de “slow mist” indica que, si se encuentra el directorio plain-crypto-js, incluso si en su interior se ha limpiado package.json, debe considerarse como una huella de ejecución de alto riesgo. En los hosts que ejecutaron npm install o npm install -g openclaw@2026.3.28 dentro de la ventana de ataque, se recomienda rotar credenciales de inmediato y realizar una investigación en el lado del host. (Fuente: ODAILY)