Vercel安全事件更新：npm包未被污染，新建环境变量默认即“敏感”

时间：2026-04-21 12:54:43

　　消息，4 月 21 日，据动察 Beating 监测，Vercel 官方账号 4 月 21 日上午宣布，称与 GitHub、Microsoft、npm、Socket 四方联合排查后，Vercel 在 npm 上发布的任何包均未被篡改，供应链「仍然安全」。Vercel 在 npm 上维护 Next.js、Turbopack、SWR 等开源库，合计每月下载量以亿次计，若被攻击者借员工账号投毒，影响会远超 Vercel 自身客户。这次核查排除了事件里最大的一项连带风险。同日官方安全公告同步更新三处细节。受影响范围首次明确到字段级别。公告称，遭泄露的是未被标记为「敏感」的那部分客户环境变量，其在后台解密后以明文存储。是否有更多数据被带走，Vercel 仍在调查。给客户的建议里多了一条「删除 Vercel 项目或账号本身不能消除风险」。必须先轮换所有未标记为敏感的密钥，再考虑删除动作，攻击者拿到的凭证仍可直连生产系统。产品侧改了默认值。新建环境变量现在默认即是「敏感」。老账号过去新增变量默认是普通类型，要手动勾选才启用敏感。这正是本次攻击者能读到明文变量的直接入口。Dashboard 同步上线了更密集的活动日志界面和团队级环境变量管理；所有安全建议里「启用双因素认证」被顶到最前。

上一篇：Arbitrum安全委员会冻结KelpDAO黑客30,766枚ETH 返回首页

下一篇：通义千问Qwen3.6 Plus在Code Arena与Text Arena排行榜得分提升

热点推荐

1 Moonpay推出面向AI代理的稳定币借记卡

消息，Moonpay推出面向AI代理与用户的稳定币借记卡Moonagents Card，该卡基于Mastercard网络运行，由...

2 Hyperliquid早期贡献者Loracle增持CL空单1363

消息，Hyperliquid早期贡献者Loracle最近增持CL空单1,363.64枚，约合1,010,862.41美元，持仓规模达到...

3 2026年4月加密风险投资降至6.59亿美元，创

消息，2026年4月，加密风险投资资金降至6.59亿美元，为2024年以来的最低月度总额，较3月的26亿...

4 Moonpay推出虚拟Mastercard稳定币卡，支持A

消息，Moonpay推出了Moonagents卡，这是一款虚拟的Mastercard产品，允许AI代理和用户直接使用稳定币...

5 Matrixport关联地址（子地址1）：ETH多单由