GHSA-8mh3-cf36-7xxq恶意 lwd-uri-util crate
已发布的八个版本均利用 Cargo 构建脚本收集凭据。
恶意 Rust 软件包和拉取请求瞄准钱包项目的构建凭据
sapho11 账号将凭据窃取代码发布为 lwd-uri-util，并试图引入钱包项目。移除所有版本，检查开发机与 CI 是否执行过相关代码，轮换其可访问的凭据。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 1 个 CVE
- 波及范围
- 构建过该 crate、运行过相关 PR 代码，或安装过恶意 Git 依赖的开发机及 CI。
- Rust · supply chain · credential theft
- 在野利用
- 未知
- 恶意制品及 PR 已公开；RustSec 未发现该 crate 被实际使用的证据。
发生了什么
Cargo 在执行 cargo build、cargo check、cargo test 或 IDE 自动检查检出代码时，可运行该 crate 的 build.rs。脚本搜集环境密钥、凭据和签名材料。各变体发送数据的条件不同。OpenSourceMalware 还在 sapho11/zip321-uri 找到配套的 Node.js 窃取代码，将其作为 Git 依赖安装时可通过生命周期钩子尝试执行；研究人员指出，现行 Node.js 版本可能因模块格式不匹配而报错。
这些 PR 无法证明钱包平台失陷，也不能证明凭据或资金被盗。Chainapsis 关闭了四个 PR。OpenSourceMalware 未能在后续的 sapho11/zec-uri 仓库下架前检查其代码，其行为尚未确认。
需要关联核查的指标
- GitHub 账号
sapho11（ID354695800）；仓库sapho11/lwd-uri-util、sapho11/zip321-uri和待核实的sapho11/zec-uri。 - PR
chainapsis/vizor-wallet#1199至#1202、zingolabs/zingo-common#85和zingolabs/zingolib#3148。Rust 脚本输出可能位于target/*/build/lwd-uri-util-*/out/lwd_uri_build_context.json。 api.sdklfghaljksdhfkjasdfhlkasdhfjklasdf[.]xyz/v1/tipcheck和api.sdklfghaljksdhfkjasdfhlasdhfjklasdf[.]xyz/v1/tipcheck；session-check.sapho11.workers[.]dev的/v1/tipcheck、/auth、/auth/login；webhook[.]site的/0a60608b-63de-480c-a441-38a8d107a9ea和/14b3cc9b-3275-4b63-8b93-f4d2669fbdc1。- 提交作者邮箱
sapho11@wp.pl；变量LWD_URI_NO_METRICS、LWD_URI_METRICS_URL、ZIP321_NO_TELEMETRY、VIZOR_DIAG_ENDPOINT、VIZOR_TIP_MIRROR。 - Vizor 中包含原始代码的提交：
c675b967588f370a1eace7c73b81f82343b29486、716e01d64b36c40b0cd4e6f7e4e813ed792388da、a1762b9db1a4207ab0d823556c50fe86ea1dfd43。 - SHA-256 (
.crate):0.1.0:129be19ca4d1d997d168af561e5cea12b0a401716a05720daf48072e470d7db50.1.1:10304aa2c167bb0d66800020fb1f983bc62bb5bec89239de9fddb129b523149a0.1.2:6d35f023e3d87f8d4bc91a3bc670ae4681e9d85937146b9b0683d0f33eb0f55a0.1.3:80c54ff4fe231c363db0c75cbb81f566ea4d10c266ec594165d840df13ab09730.1.4:476a207e057ec463ff045a2c0115c8a34ea8eab70e0abe4c1efd90ceb8b5161c0.1.5:3b290a899d741be14f9bb9f3545279911f774608362f348654f10823774c2f870.1.6:5c848823a78313c47596bdf3c260e8862a02c7e48fa8ce718aca332f7b80c4fd0.1.7:7c0fbaf582b9b4e674c108ed5b0cb2835b11369fbdb1ce7ac29d63e9321a6981
- SHA-256 (0.1.7):
build.rsf466d5621525a4cf229e4a8377cd7285da5797eee77384253f1040a722765953;src/lib.rsac82fd28228bfb55acbb9bfdd2f3a4b926c6d65e2965db5a34c11d1a76fbd762;Cargo.tomlc469240c313d7da0d40b901e51e642b4efd61906e28849c1059b70451065ccca. - 钓鱼页面 SHA-256 (
/auth):d8671b8aed8771dba6b57bd51d2e42914c0df87bd9e9d148478a0fbc121e81e6.
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| lwd-uri-util | 无修复 | 移除 0.1.0 至 0.1.7。该 crate 已从 crates.io 下架。 |
案发时间线
2026年11月10日
恶意 PR 瞄准 Chainapsis 和 Zingo Labs 仓库
OpenSourceMalware 记录了试图上传 CI 凭据的 PR、试图指示审查者忽略上传的文档、植入依赖及伪造的维护者登录页面。
2026年11月10日
GitHub 发布恶意软件公告
GHSA-8mh3-cf36-7xxq 列出八个受影响版本，无修补版本。OpenSourceMalware 当天稍后报告下架处置。
2026年11月11日
RustSec 发布公告
RUSTSEC-2026-0483 确认软件包已从 crates.io 下架，且未发现实际使用证据。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- OpenSourceMalware 的 sapho11 原始调查一手来源记录 PR、源码分析、配套 Git 依赖、钓鱼及下架处置。
- GitHub 恶意软件公告一手来源列出受影响版本，收录 Amazon Inspector 对构建脚本的分析。
- RustSec RUSTSEC-2026-0483一手来源确认已下架、无修补版本及未发现实际使用证据。