GHSA-q2mc-9hgr-vmx2screenshot-desktop 1.16.0 中的恶意软件
GitHub 精确标记 1.16.0，未列修复版本，并警告仅删除软件包不能撤销可能的主机控制。
GitHub 将 screenshot-desktop 1.16.0 标为恶意软件，要求处置安装主机
GitHub 恶意软件公告精确标记 screenshot-desktop 1.16.0，未列修复版本。建议将安装或运行过它的主机视为失陷，并从另一台电脑轮换凭据。npm 的 latest 现指向 1.15.8，但这不能清理既有主机，也不能证明其他版本安全。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 1 个 CVE
- 波及范围
- 安装或运行过 npm screenshot-desktop 1.16.0 的开发机、CI 运行器及应用。
- node
- 在野利用
- 未知
- GitHub 将该版本归为恶意软件，实际受害执行及窃取规模未公布。
发生了什么
GitHub 11 月 4 日公告将 screenshot-desktop 1.16.0 归类为恶意软件，没有公布载荷、外传目标、攻击者、维护者账户接管、确认受害者或被盗资料总量。不能把注册表恶意软件警告写成所有使用者已感染，或整个 npm 平台被攻破。
npm 时间记录显示 1.16.0 于 11 月 4 日 11:26:36 UTC 发布，GitHub 公告发布于 12:51:58 UTC。当前观察到 latest 指向 1.15.8，但切换标签或移除可疑版本都不能修复已安装它的主机。GitHub 未列修复版本，并明确提醒卸载软件包可能遗留其他恶意软件。
该版本经既有开发依赖分发，因此评为 L3。npm 报告 10 月 28 日至 11 月 3 日共 66,054 次下载，该时段早于 1.16.0 发布；只能说明既有传播范围，不是受影响主机数。公告未确立某台机器已实际执行或被窃取，本文也没有运行利用载荷。应盘点精确版本、保留证据、从干净电脑轮换凭据，并重建疑似主机。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| screenshot-desktop 1.16.0 | 无修复 | 恶意版本；未列修复版本 |
案发时间线
11月4日 11:26 UTC
npm 记录 1.16.0 发布
注册表时间为 11:26:36 UTC；这是发布时间，不代表已确认安装或已知攻击起点。
11月4日 12:51 UTC
GitHub 发布恶意软件公告
原始 API 记录 12:51:58 UTC，精确标记 1.16.0，并要求从干净设备轮换凭据。注册表 latest 现为 1.15.8，这不是该版本的安全保证。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- GitHub 原始恶意软件公告一手来源GitHub 自身将精确版本 1.16.0 标为恶意软件，未列修复版本，并给出主机失陷及干净设备轮换建议；未公开受害者总数、载荷细节或归因。
- GitHub 公告 API 元数据一手来源11 月 4 日 12:51:58 UTC 发布，确认 npm 包及精确范围，没有撤回标记或修复版本。
- npm 原始软件包元数据一手来源1.16.0 于 11:26:36 UTC 发布；核查时 latest 指向 1.15.8。注册表状态不能证明主机已清理或所有其他版本安全。
- npm 官方每周下载统计一手来源10 月 28 日至 11 月 3 日共 66,054 次下载，早于恶意版本发布；这是下载次数，不是用户、恶意版本安装或受害人数。