В истории Zod обнаружили коммит, который вместе с переходом на версию 4.6.6 добавлял загрузку и исполнение внешнего кода. Подозрительные файлы появились сразу в двух пакетах — zod и @zod/mini. 11 октября пользователь worksnk открыл на GitHub обращение с просьбой объяснить происхождение изменений и подтвердить, затронули ли они опубликованные версии. Сам загрузчик виден в коде, но масштаб происшествия пока не установлен. Автор обращения пишет, что изменения, похоже, отменили до окончательного выпуска, а подозрительных файлов в опубликованном пакете 4...