轻量级 JavaScript 库 'is' 于 2025 年遭遇钓鱼攻击，导致恶意版本发布，含远程代码执行后门。攻击者通过伪装邮件获取开发者凭证，修改软件包并植入恶意代码。受影响版本为 v3.3.1 至 v5.0.0，建议开发者审计依赖项并升级至安全版本。