Socket：npm 包 axios 遭供应链攻击，最新版本 1.14.1 被植入恶意代码

Foresight News 消息，慢雾创始人余弦转发 Socket AI 创始人 Feross 的预警，称 npm 生态核心依赖包 axios 遭受活跃供应链攻击，其最新版本 [email protected] 被注入此前从未存在的恶意包 [email protected]，Socket AI 分析已确认该包为恶意软件，axios 每周下载量逾 1 亿次，所有拉取最新版本的项目均面临潜在入侵风险。

Feross 建议所有 axios 用户立即锁定版本并审查锁定文件，切勿升级至最新版本。