npm可信发布存在SlugFest漏洞

发生了什么

据WorkOS技术动态引用Bloom Security报告，npm Trusted Publishing功能存在名为SlugFest的安全漏洞。该漏洞源于npm将包发布信任绑定到GitHub仓库的可变名称（owner/repo）而非不可变的数字ID。攻击者通过认领废弃仓库名，可利用原有信任配置发布恶意版本。Bloom扫描发现超过1,500个受影响包，总下载量超1,000万次。OpenSSF规范早已警告此类“复活与重命名攻击”，建议解析并持久化ID，但npm尚未修复。