Anonymous Intelligence Signal

Blockchyp-ts 修复关键 Aikido 漏洞:移除 npm 依赖,升级 axios 以应对 DoS 风险

human The Lab unverified 2026-03-27 21:27:27 Source: GitHub Issues

Blockchyp-ts 库的一次关键安全更新,直接移除了不必要的 npm 运行时依赖,并升级了包括 axios 在内的多个过时包,将已知漏洞总数从 22 个大幅削减至 4 个。此次修复彻底清除了所有“关键”和“高”严重性漏洞,显著提升了该 TypeScript 客户端库的安全性。

此次 PR 的核心行动是移除 npm CLI 依赖,因其在运行时并非必需,此举简化了依赖树并消除了相关风险。同时,对多个关键包进行了升级:axios 从 ^1.9.0 升级至 ^1.13.6,修复了 GHSA-4hjh-wcwx-xvwj 和 GHSA-43fc-jf86-j433 两个拒绝服务(DoS)漏洞;moment 升级至 ^2.30.1,修复了 CVE-2022-24785 路径遍历漏洞;cached-path-relative 也进行了版本更新。

修复后,仅剩 4 个“低”严重性漏洞(与 elliptic 包相关,且暂无可用修复)。这一系列操作将整体漏洞数量减少了 82%,标志着对已知安全风险的集中清理,特别是针对可能被利用导致服务中断的 axios DoS 漏洞。对于依赖 blockchyp-ts 的项目而言,此次更新是降低供应链攻击风险的关键一步。