Медовий туман: Увага до перевірки шкідливих версій axios 1.14.1 / 0.30.4 та історії глобальної установки npm OpenClaw, що може спричинити ризики вразливості

Новини ME: Повідомлення, 31 березня (UTC+8), станом на 31 березня 2026 року, публічна інформація свідчить, що axios@1.14.1 та axios@0.30.4 уже були ідентифіковані як шкідливі версії. Обидві версії були вбудовані з додатковою залежністю plain-crypto-js@4.2.1; цю залежність можна використати для доставки кросплатформенного шкідливого корисного навантаження через postinstall-скрипт. Вплив цієї події на OpenClaw слід оцінювати залежно від сценарію: 1）Сценарій збирання з вихідного коду: не впливає. Фактично файл блокування v2026.3.28 фіксує axios@1.13.5 / 1.13.6 і не потрапляє на шкідливі версії. 2）Сценарій npm install -g openclaw@2026.3.28: існує історичний ризик розкриття. Причина в тому, що в ланцюжку залежностей присутнє: openclaw -> @line/bot-sdk@10.6.0 -> optionalDependencies.axios@^1.7.4. У часовому вікні, коли шкідливі версії ще були доступні онлайн, можливе розв’язання до axios@1.14.1. 3）Наразі результат повторної інсталяції: npm відкотив розв’язання до axios@1.14.0, однак для середовищ, у яких встановлення відбувалося в межах атакувального вікна, усе ще рекомендується поводитися як із ураженим сценарієм і виконати перевірку IoC.

Крім того, Slow Mist (慢雾) повідомляє: якщо виявлено каталог plain-crypto-js, навіть якщо в ньому вже очищено package.json, це слід розглядати як ознаку виконання з високим ризиком. Для хостів, на яких у межах атакувального вікна виконували npm install або npm install -g openclaw@2026.3.28, рекомендується негайно замінити облікові дані (credentials) і провести перевірку на стороні хоста.（来源：ODAILY）