🟧 黑客讨论: 不要安装 Zod 4.6.6——它可能已被感染
🔥 文章摘要: 别装 Zod 4.6.6，安装脚本在偷跑远程代码！提交 d821685 名为“修复 bug 并提升性能”，却在 zod 和 @zod/mini 的 package.json 加了 preinstall: node meta.test.mjs 并把它塞进发布文件；脚本先从以太坊 RPC 合约取地址，再拉远端 loader 用 base64 动态 import 执行，release.yml 也被改成 package.json 一变就自动发版。
📝 评论总结: 评论认为不是“可能”，而是已确认被投毒，属恶意远程代码加载器，呼吁尽快向 GitHub 和维护者报警。
✨ 亮点评论: jaapz：“可能”说得太温和了，它就是被感染了。
🔗 原文链接: 修复 bug 并提升性能 · colinhacks/zod@d821685 · GitHub
#HN50052814
🔥 文章摘要: 别装 Zod 4.6.6，安装脚本在偷跑远程代码！提交 d821685 名为“修复 bug 并提升性能”，却在 zod 和 @zod/mini 的 package.json 加了 preinstall: node meta.test.mjs 并把它塞进发布文件；脚本先从以太坊 RPC 合约取地址，再拉远端 loader 用 base64 动态 import 执行，release.yml 也被改成 package.json 一变就自动发版。
📝 评论总结: 评论认为不是“可能”，而是已确认被投毒，属恶意远程代码加载器，呼吁尽快向 GitHub 和维护者报警。
✨ 亮点评论: jaapz：“可能”说得太温和了，它就是被感染了。
🔗 原文链接: 修复 bug 并提升性能 · colinhacks/zod@d821685 · GitHub
#HN50052814
