KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-848722 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2021年10月22日晚上9点，KnowSafe安全团队监测到Npm官方仓库UAParse.js（ua-parser-js）官方账号疑似被恶意劫持，并遭遇投毒攻击，多个版本被攻击者植入挖矿脚本。该包月均下载量超千万，危害范围极广，请相关开发者、企业用户尽快自查，避免造成进一步损失。
ua-parser-js包是一个JavaScript库，用于从User-Agent中解析出浏览器、引擎、操作系统、CPU 和设备类型/模型等相关的设备信息，被广泛应用于JavaScript开发。ua-parser-js包用户非常广泛，如苹果，微软，Facebook，亚马逊，IBM, HPE，戴尔，甲骨文，Mozilla等大型科技公司对该包均有依赖。
影响版本：
ua-parser-js 0.7.29
ua-parser-js 0.8.0
ua-parser-js 1.0.0
以上版本被攻击者植入挖矿脚本，其他版本暂时未受影响。
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
建议将ua-parser-js更新到最新版本。
参考信息
https://mp.weixin.qq.com/s/-4JdUCksz3W1fpWN9lEAkw
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。