Supply Chain Attack on Axios Pulls Malicious Dependency from npm

以下パッケージを依存、ロックファイルに含んでいる場合は対応必要

axios@1.14.1

axios@0.30.4（同様に改ざん）

plain-crypto-js@4.2.1

時系列

1. 2026-03-30 05:57 UTC — “偽装用の無害パッケージ”を公開

plain-crypto-js@4.2.0 を公開

目的：「新規アカウントが突然怪しいパッケージを公開した」ように見えないようにする

npm の “zero-history” チェックを回避するための履歴作り

2. 2026-03-30 23:59 UTC — “本物の悪性パッケージ”を公開

plain-crypto-js@4.2.1 を公開

3. 2026-03-31 00:21 UTC — axios@1.14.1 を攻撃者が公開

本来 GitHub Actions で OIDC 署名付きで公開されるはずが、

手動で npm CLI から公開されている（＝盗まれたトークン使用）

plain-crypto-js@4.2.1 を依存に追加

1.x 系ユーザーを狙った最初の攻撃

4. 2026-03-31 01:00 UTC — axios@0.30.4 を公開

0.x 系ユーザー向けに 39分後に追加攻撃

同じく plain-crypto-js を依存に注入

1.x と 0.x の両方を短時間で汚染し、最大範囲をカバー