新的前端 npm 包投毒事件

[CHTuring]

起因：vue 官方转发推文（ https://twitter.com/ewind1994/status/1610868861976604673 ），一个名为 chalk-next 复刻 chalk 的包文件中包含递归删除本地配置代码。

NPM 地址： https://www.npmjs.com/package/chalk-next

NPM 帐号： https://www.npmjs.com/~vabjs

作者：chu1204505056 ，为 vue-admin-beautiful 前端 Admin 项目的作者

Github： https://github.com/chuzhixin

查到 V2EX 相关贴：《实名抵制 vue-admin-beautiful 》（ https://www.v2ex.com/t/793276?p=1 ）

[oxromantic]

https://www.v2ex.com/t/711701 看了下，躺着骗钱不香么，为啥还要投毒

[molvqingtai]

从他的营销 vue-admin-beautiful 就感到恶心，果然丑人多作怪

[ddsfeng]

https://www.npmjs.com/package/chokidar-next?activeTab=explore

搜索 thanks

不止 chalk-next 投了, 其他的一些 -next 都有, 这人真是不怕死啊, 干这种缺德事..

[mokeyjay]

如何确定这个 vabjs 就是 chu1204505056 呢？

[rabbbit]

这个人的 github 首页的 Pinned 里为什么有 element-ui 和 vue-cli
是贡献过代码吗?

[ddsfeng]

@mokeyjay 看这个 https://www.npmjs.com/org/chu1204505056

[molvqingtai]

@mokeyjay 这个账号名下的 package 里面的部分链接 指向 vue-admin-beautiful

[pokon548]

这种删代码的行为，在国内妥妥的算计算机入侵罪吧...

[rabbbit]

研究了一下,Github 只要贡献过代码,无论多少,只要合并了就能把这个项目放到自己的 Pinned 里.
不知道的还以为是作者...

[h404bi]

~vabjs 下其它不少还在的包都有类似操作，吓人..

https://www.npmjs.com/package/vue-plugin-rely?activeTab=explore

[PTLin]

可怜，这人生活得过的多不如意才能把删除别人文件的函数起名叫 thanks

[makelove]

如果真造成了损失有人报警，警察管不管，毕竟相当于实名犯罪了很好抓人

[msojocs]

如果，它的目的是出于授权检测，那就不应该放在公开站点上；
很明显，想赚钱又想白嫖免费公共服务。

[ihciah]

@msojocs 这接口贴出来，怕不是要被 v 站礼仪一下。。

[gitjavascript]

草，还有这种败类？

[qeqv]

开放源代码，却又给未授权用户投毒，意义何在？

[msojocs]

@ihciah 但是拿到接口不难啊，想弄的人转一下 unicode 就出来了。

[WinkeyLin]

@msojocs 哈哈，接口返回 302 直接删库，暂时没发现怎么触发，猜测是作者针对特定 License 留的报复后门，这种”开源项目“还真有人敢用
https://pbs.twimg.com/media/Flr0Ze0aYAIWBBs?format=jpg&name=large

[ihciah]

@msojocs 233 我意思是会被 D 成天价账单

[jenlors]

还有这种垃圾？