WorkOS Blog·· 3 天前精选AI 评分76
SlugFest：npm Trusted Publishing 把信任绑在仓库名而非 ID 上的漏洞
SlugFest: The npm Trusted Publishing flaw that trusted names, not IDs
AI 导读
Bloom Security 于 2026 年 10 月 13 日披露 npm Trusted Publishing 的 SlugFest 漏洞：npm 把包的发布信任绑定到 GitHub 仓库的 owner/repo 名称而非不可变的数字 ID，任何人抢注被废弃的仓库名即可发布该包的新版本。
推荐理由
以 npm 信任发布漏洞为引，说明授权应绑定不可变 ID 而非可改名称，并给出可迁移的校验清单。
来源：WorkOS Blog · workos.com