KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-59037 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
DuckDB是一个分析型嵌入式SQL数据库管理系统。2025年9月8日，DuckDB官方遭遇了一次供应链钓鱼安全攻击，多个 Node.js 相关包被植入恶意代码，攻击者发布了四个包含恶意负载的新版本，包括：@duckdb/node-api@1.3.3、@duckdb/node-bindings@1.3.3、duckdb@1.3.3 和 @duckdb/duckdb-wasm@1.29.2。
这些恶意代码被设计用于干扰加密货币交易，可能对用户资产安全构成潜在威胁。根据 npm 的下载统计数据，这些恶意版本在被删除前未被任何用户下载，因此未造成实际扩散或损害。建议所有用户将相关包升级至 1.3.4 或 1.30.0 及以上版本。如暂时无法升级，也可通过降级至 1.3.2 或 1.29.1 版本来规避风险。
恶意NPM包版本
@duckdb/duckdb-wasm 1.29.2
@duckdb/node-api 1.3.3
@duckdb/node-bindings 1.3.3
duckdb 1.3.3
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
1、升级相关包至最新版本或者降低至安全版本。
2、云安全中心主机无代理应用漏洞检测与容器镜像应用漏洞支持针对该漏洞进行相关检测。
参考信息
https://github.com/duckdb/duckdb-node/releases/tag/v1.3.4
https://github.com/duckdb/duckdb-node/security/advisories/GHSA-w62p-hx95-gf2c
https://www.aikido.dev/blog/npm-debug-and-chalk-packages-compromised
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。