更新 目前恶意包 plain-crypto-js@4.2.1 已被 npm 官方替换为空置状态 并且 axios 受影响版本已从 npm 注册表中删除 注意检查在恶意包存活期间（北京时间 2026-03-31 约上午 8 点到 11:30）是否进行过安装或 CI 构建操作 相关讨论 以下为帖子原始内容 报告来源 受影响版本 axios@1.14.1 和 axios@0.30.4 axios@1.14.1 的 npm 页面 事件描述 这两个版本均使用 axios 一位主要维护者的 npm…