SlowMist warnt vor bösartigen Axios-Versionen 1.14.1/0.30.4 und Risiken durch globale npm-Installation von OpenClaw

Odaily Planet Daily berichtet: Laut öffentlich verfügbaren Erkenntnissen (Stand: 31. März 2026) wurden axios@1.14.1 und axios@0.30.4 als bösartige Versionen bestätigt. Beide Releases enthalten die zusätzliche Abhängigkeit plaincryptojs@4.2.1, die über ein Postinstall-Skript eine plattformübergreifende Schadlast ausliefert. Die Auswirkungen auf OpenClaw hängen vom jeweiligen Installationsszenario ab: 1) Build aus dem Quellcode: Version v2026.3.28 gilt als nicht betroffen. Die Lock-Datei fixiert axios@1.13.5/1.13.6 und damit nicht die kompromittierten Versionen. 2) Globale Installation per "npm install -g openclaw@2026.3.28": Es besteht ein historisches Expositionsrisiko. In der Abhängigkeitskette „openclaw > @line/botsdk@10.6.0 > optionalDependencies.axios@^1.7.4“ konnte in dem Zeitfenster, in dem die bösartige Version verfügbar war, axios@1.14.1 aufgelöst werden. 3) Aktuelles Neuinstallations-Ergebnis: npm löst inzwischen wieder auf axios@1.14.0 auf. Installationen, die während des Angriffsfensters erfolgt sind, sollten dennoch als potenziell betroffen behandelt und auf IoCs untersucht werden. SlowMist empfiehlt zusätzlich: Wird das Verzeichnis plaincryptojs gefunden, ist dies als hochriskante Ausführungsspur zu werten – auch dann, wenn die darin enthaltene package.json entfernt wurde. Für Hosts, auf denen während des Angriffsfensters "npm install" oder "npm install -g openclaw@2026.3.28" ausgeführt wurde, wird ein sofortiger Wechsel von Zugangsdaten sowie eine forensische Prüfung des Systems empfohlen.