PyPI仓库 loggutils 组件内嵌恶意代码

原创

已于 2025-06-30 17:33:39 修改 · 226 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#loggutils #PyPI恶意包 #软件供应链安全

于 2025-06-30 16:25:56 首次发布

【高危】PyPI仓库 loggutils 组件内嵌恶意代码

漏洞描述

当用户安装受影响版本的 loggutils Python组件包时会窃取用户主机浏览器、剪贴板、系统文件等信息，并窃取键盘记录和摄像头截图，并对用户主机进行远控。

MPS编号	MPS-tzsc-gm4v
处置建议	强烈建议修复
发现时间	2025-06-30
投毒仓库	pip
投毒类型	恶意代码
利用成本	低
利用可能性	中

影响范围

影响组件	受影响的版本	最小修复版本

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

墨菲安全

关注关注

5
点赞
踩
6

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

参与评论您还未登录，请先登录后发表或查看评论

博客

SHA1HULUD蠕虫再现：超300NPM包被投毒、 2万仓库信息被窃取

12-04

1034

2025年11月24日，墨菲安全实验室检测到数小时内NPM仓库中超过300个组件被相同的方式投毒，这些包在NPM仓库中发布的新版本仿冒引入Bun运行时，引入 preinstall: node setup_bun.js，以及混淆的 bun_environment.js 文件。

博客

NPM组件 @capacitor-bmo/biometric 等窃取主机敏感信息

08-26

588

NPM组件@capacitor-bmo/biometric等多个包存在高危投毒漏洞，安装后会窃取主机名、用户名、IP地址并发送至攻击者服务器。影响ember-lts-4.4、gannache、solana-pump-test等50余个组件特定版本，无修复版本。利用成本低、可能性中，建议立即排查卸载受影响包，删除依赖重装，检查系统异常通信及敏感凭证安全，加强依赖管理。

博客

NPM组件 @mz-codes/const 等窃取主机敏感信息

08-21

570

【高危】NPM组件投毒漏洞影响@mz-codes/const等多个包，安装后会窃取主机名、用户名、IP等敏感信息并发送至攻击者服务器。受影响版本多为特定版本（如@mz-codes/const@1.1.3、orion-ui@0.1.0-9.2.2等），目前无最小修复版本。利用成本低，可能性中。建议立即排查并移除恶意包，删除node_modules和package-lock.json后重装依赖，检查系统安全，加强依赖管理，仅用官方源并定期审计。

博客

Google Chrome V8 ＜14.1.58 越界写入漏洞

08-21

840

CVE-2025-9132是Google Chrome V8引擎高危越界写入漏洞，影响V8<14.1.58（对应Chrome<141.0.7355.0）。因V8解析C风格for循环内await using声明时存在逻辑缺陷，生成错误字节码，JIT编译器处理时触发越界内存写入，可破坏内存结构导致浏览器渲染器进程执行任意代码。修复通过修改解析函数，强制将相关变量模式视为常量以确保异步资源释放正确处理。建议升级V8至14.1.58+或Chrome至141.0.7355.0+。

博客

NGINX ngx_mail_smtp_module 内存越界读取漏洞

08-21

1294

【中危】NGINX ngx_mail_smtp_module内存越界读取漏洞（CVE-2025-53859）影响版本[0.7.22, 1.29.1)。启用该模块且smtp_auth设为none时，认证服务器返回Auth-Wait响应会触发认证错误处理缺陷，导致内存越界读取，泄露服务器数据。建议升级至1.29.1及以上版本，或修改smtp_auth为非none方法，禁用不必要的smtp模块。

博客

NPM组件 @angular_devkit/core 等窃取主机敏感信息

08-21

875

【高危】多个NPM组件（如@angular_devkit/core、microsoft-bonsai-api等）存在投毒风险，安装后会窃取主机名、用户名、IP地址等敏感信息并发送至攻击者服务器。影响范围广，涉及Angular开发工具、微软Bonsai API、Solana生态等领域组件。利用成本低，建议立即排查移除受影响包，删除node_modules及package-lock.json后重装依赖，全面检查系统安全，加强依赖管理，避免使用未知来源包。

博客

NPM组件 @amiga-fwk-nodejs/log 等窃取主机敏感信息

08-21

947

【高危】NPM组件投毒漏洞，涉及@amiga-fwk-nodejs/log、rush-plugins等多个包。安装受影响版本后，会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。利用成本低，影响范围广。建议立即排查并卸载恶意包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全，重置敏感凭证。

博客

Cherry Studio 命令注入漏洞

08-13

531

Cherry Studio存在高危命令注入漏洞（CVE-2025-54074），影响版本[1.2.5, 1.5.2)。该漏洞因MCP服务器认证流程中，redirectToAuthorization函数将未校验的授权端点URL直接传递给open函数，导致恶意URL可触发系统命令执行。修复版本1.5.2通过sanitizeUrl过滤非法协议及危险字符阻断攻击，建议用户升级至1.5.2+，并避免连接不受信任的MCP服务器。

博客

NPM组件 @evt-cdk/codepipeline 等窃取主机敏感信息

08-07

376

NPM组件@evt-cdk/codepipeline等存在高危投毒漏洞，安装后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。受影响组件包括react-dom-client、adminarmorproject、newrelic-helper-lib等30余个，部分版本无修复方案。漏洞利用成本低，风险等级高。建议立即排查是否安装受影响包，卸载并删除依赖文件，全面检查系统安全，加强依赖管理规范。

博客

Google Chrome ＜139.0.7236.0 UAF漏洞

08-06

1148

Google Chrome及Chromium存在高危UAF漏洞（CVE-2025-8578），影响版本<139.0.7236.0。漏洞因OpenscreenSessionHost::ReportAndLogError方法用std::string_view接收错误消息，异步任务绑定时若传入指向局部std::string的string_view，局部对象销毁后访问释放内存引发UAF。修复版本将参数类型改为std::string，通过所有权转移确保字符串生命周期覆盖异步任务执行。建议升级至139.0.7236.0

博客

Apache OFBiz Scrum 组件命令注入漏洞

08-05

791

Apache OFBiz Scrum组件存在命令注入漏洞（CVE-2025-54466），OFBiz版本<24.09.02受影响。ScrumServices.java中repository和revision参数未经严格校验直接拼接至命令字符串并执行，拥有Scrum模块权限的攻击者可利用此漏洞实现任意命令执行。修复版本24.09.02通过参数格式校验（URL/整数验证）及命令执行参数分离机制（exec(String[])）防御。建议受影响用户升级至安全版本或应用官方补丁。

博客

NPM组件 aiohappyeyeballs 等窃取主机敏感信息

08-03

767

NPM组件aiohappyeyeballs等存在高危投毒漏洞，安装受影响版本（如aiohappyeyeballs [0.1.4, 0.2.5]、node-calculator-yqhi@2.2.0等）会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。利用成本低，可能针对开发环境及网站管理员主机。建议立即排查依赖，移除恶意包，全面检查系统安全（如异常网络连接、敏感凭证），并加强依赖管理（仅用官方源、限制版本范围）。

博客

NPM组件 @usaa-grp-payments-web-experience/bk-acknowledge-module 等窃取主机敏感信息

08-02

619

多个NPM组件（如@usaa-grp-payments-web-experience/bk-acknowledge-module等）被投毒，安装后会窃取主机名、用户名、IP地址等敏感信息并发送至攻击者服务器。影响pixzen、amdocs-auth-package、arkadiko-dao等数十个组件特定版本，利用成本低。建议立即排查并卸载受影响包，删除依赖重装，扫描系统异常，加强依赖管理（如限制版本范围、使用官方源）。

博客

NPM组件 @coolblue-development/next-recently-viewed 等窃取主机敏感信息

08-01

631

【高危】NPM组件投毒漏洞（MPS-qcto-16v8）影响@coolblue-development/next-recently-viewed等多个包，安装后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。受影响版本包括blockly-test@0.1.0、vscode-kubernetes-tools@1.4.0等，无修复版本。利用成本低，建议立即卸载恶意包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全，加强依赖管理规范。

博客

NPM组件 @azet/api 等窃取主机敏感信息

07-31

722

NPM组件@azet/api等存在高危投毒漏洞，安装受影响版本时会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。影响范围涉及@twork-data-services/*、@moonpig/web-core-*、@azl-react-components/*等多个组件，受影响版本多为[0.99.0, 99.99.0]、172.0.0等。漏洞利用成本低，建议立即排查卸载恶意包，删除node_modules后重装依赖，全面检查系统安全并重置敏感凭证，加强依赖管理规范。

博客

Google Chrome ＜140.0.7297.0 MediaStreamTrackImpl UAF漏洞

07-31

1076

CVE-2025-8292是Google Chrome/Chromium的高危Use-After-Free漏洞，影响版本<140.0.7297.0。漏洞因MediaStreamTrackImpl组件销毁前未清除对音频接收器（SpeechRecognitionMediaStreamAudioSink）的引用所致。修复通过引入Dispose()预清理方法，在对象销毁前主动移除关联引用，消除悬垂指针。建议用户升级至140.0.7297.0及以上版本，临时可禁用语音识别或限制麦克风权限缓解风险。

博客

NPM组件 @0xme5war/apicli 等窃取主机敏感信息

07-30

657

【高危】多款NPM组件存在投毒风险，包括@0xme5war/apicli [1.0.0,2.0.0]、react-native-gainsight-px [1.5.2,1.12.5]等20余款。安装后会窃取主机名、用户名、工作目录、IP等敏感信息，发送至攻击者电报地址（botToken=7699295118:AAF6pb7t718vjHWHwFQlZOastZQYHL8IVDE，chatId=6567865682）。利用成本低，建议立即排查卸载受影响包，删除node_modules及package-lock

博客

NPM组件 @ai0x1337/budoux-extension 等窃取主机敏感信息

07-29

1003

【高危】多款NPM组件（如@ai0x1337/budoux-extension、@cwlib/core等）被投毒，安装后会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。影响超20个包，含伪装成熟组件（如Sentry工具包）、内部CLI工具等，利用成本低。建议立即排查并卸载受影响包，删除node_modules重装依赖，扫描系统异常，重置敏感凭证，加强依赖管理（限版本范围、用官方源、定期审计）。

博客

Google Chrome V8＜ 13.7.120 沙箱绕过漏洞

07-28

916

Google Chrome V8<13.7.120沙箱绕过漏洞（MPS-id8s-k96g），影响V8<13.7.120、Chrome/Chromium<137.0.7137.0。因JsonParser::MakeString处理长度1的转义字符串时存在二次获取问题，致DecodeString基于过时检查结果写入2字节栈缓冲区，引发栈溢出。修复通过重构DecodeString，引入长度计数器并添加SBXCHECK_GE(length,2)校验防溢出，建议升级至V8 13.7.120+或Chrome 137.

博客

NPM组件 @ctra/utils 等窃取主机敏感信息

07-26

742

【高危】NPM组件投毒漏洞，涉及@ctra/utils等多个包（如openai-fm、airbnb-prod等），安装后会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。受影响版本无修复版本，利用成本低。建议立即排查并卸载恶意包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全（如异常进程、境外IP通信），加强依赖管理（限版本范围、用官方源、定期审计）。