GHSA-q8jp-gq6p-hwpx恶意 npm 版本
GitHub 将 0.1.22 和 0.1.23 两个确切版本列为恶意软件，未列修复版本。
GitHub 将 @cherrydotfun/miniapp-sdk 的两个 npm 版本列为恶意软件
GitHub 将 @cherrydotfun/miniapp-sdk 0.1.22 和 0.1.23 列为恶意软件。npm 将 0.1.21 标为 latest，且版本列表已不包含两项受影响版本。应根据锁文件和构建日志查找安装记录，隔离暴露环境并轮换其中的密钥。GitHub 未列修复版本。
- 披露时间
- 2026年11月6日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 1 个 CVE
- 波及范围
- 安装或运行 @cherrydotfun/miniapp-sdk 0.1.22 或 0.1.23 的开发机及 CI 运行器。
- npm
- 在野利用
- 未知
- 恶意包已发布，尚无公开确认的下游受害者。
发生了什么
公告确认该 SDK 已发布的两个版本含恶意代码。已核阅公开来源未说明这些版本如何发布、代码取得了哪些凭据，或谁运行过它。安装或运行任一版本的系统应按可能失陷处理。仅移除依赖无法清理主机。
仓库目前将 0.1.21 标为 latest，版本映射已不包含两项受影响版本的元数据。发布时间仍可查到。即使从仓库已查不到这两个版本，仍应排查此前的安装及缓存产物。
马桶里有什么
案发时间线
11月6日 20:46–21:36 UTC
两个受影响版本发布至 npm
仓库记录 0.1.22 于 20:46 UTC 发布，0.1.23 于 21:36 UTC 发布。
11月6日 22:15 UTC
GitHub 发布恶意软件公告
最初的公告列出 0.1.22。
11月6日 23:04 UTC
GitHub 补充 0.1.23
更新后的公告列出两个版本，未列修复版本。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- GitHub 恶意软件公告一手来源列出两个恶意版本、无修复版本，并建议排查主机和轮换凭据。
- npm 仓库元数据一手来源记录两个版本的发布时间，以及当前指向 0.1.21 的 latest 标签。
- OpenSSF OSV 恶意软件条目一手来源保留 GitHub 公告的版本和时间记录，数据来自同一公告。