NPM组件包 vant部分版本内嵌挖矿代码

2025/5/3 12:10:05 来源：https://blog.csdn.net/weixin_55159054/article/details/144752024 浏览: 次关键词：NPM组件包 vant部分版本内嵌挖矿代码

Vant 是一个轻量、可定制的移动端组件库，于 2017 年开源。
目前 Vant 官方提供了 Vue 2 版本、Vue 3 版本和微信小程序版本，并由社区团队维护 React 版本和支付宝小程序版本。
Vant 2 版本：https://vant-ui.github.io/vant/v2/#/zh-CN/home
Vant 3 版本：https://vant-ui.github.io/vant/v3/#/zh-CN/home
Vant 4 版本：https://vant-ui.github.io/vant/#/zh-CN/home

漏洞描述：

由于开发者团队成员的 npm token被窃取，攻击者向 Vant 组件植入挖矿代码，当用户安装投毒版本时会下载并执行挖矿程序xmrig(钱包地址：475NBZygwEajj4YP2Bdu7yg6XnaphiFjxTFPkvzg5xAjLGPSakE68nyGavn8r1BYqB44xTEyKQhueeqAyGy8RaYc73URL1j)，并窃取用户云服务凭据( /.aliyun/config.json、/.hcloud/config.json 以及 ~/.tccli/default.credential文件)并发送到攻击者可控的服务器地址。