2026年7月12日的技术周报介绍了TypeScript 7.0的发布，Go语言重写显著提升了构建速度；OpenAI推出了GPT-5.6系列和全双工语音模型GPT-Live；Bun成功从Zig迁移至Rust，内存占用显著降低；npm 12.0.0发布，包含多项破坏性变更。

2026年6月22日的前端技术周报介绍了pnpm、npm和Yarn的更新。pnpm修复了安全漏洞并新增功能；npm 12.0.0预览版收紧了依赖安装要求；Yarn 4.17.0新增包映射功能。此外，Rspack和Rolldown发布了新版本，改进了构建和模块解析，Storybook修复了多个问题并升级了构建工具。

黑客开源发布了名为Miasma的蠕虫病毒，模仿TeamPCP的迷你沙虫，主要针对NPM生态系统和GitHub。Miasma能够窃取敏感凭证并自我复制传播，导致感染链难以断绝。开发者杨安永发布后账号被封，可能是账号被盗用。

红帽公司遭遇供应链攻击，黑客劫持工程师的GitHub账户，通过NPM发布恶意软件包。这些软件包利用迷你沙虫变种，窃取开发环境中的敏感凭证，影响多个企业级开发者。

近期，Node Package Manager (NPM) 的供应链攻击趋势上升，尤其是通过仿冒包名进行钓鱼攻击。Supabase 正在采取措施加强安全，包括发布安全指南、强化 GitHub Actions 和添加安全提示。建议开发者升级到 pnpm 11，固定版本，禁用不必要的安装脚本，并仔细验证包名，以防止潜在攻击。

TanStack Router 的 npm 包遭到恶意代码攻击，攻击者通过提交 PR 污染 CI 缓存，导致恶意代码被打包发布，窃取开发者密钥并感染其他项目。建议开发者暂缓升级项目，等待安全确认。

OpenAI发现TanStack库存在安全问题，但未发现用户数据泄露。受影响的macOS应用需在2026年6月12日前更新，以确保使用最新的安全证书。此事件突显了软件供应链攻击的风险，OpenAI将加强安全措施以保护用户信息和知识产权。

2026年3月31日，恶意版本的JavaScript库Axios被发布到npm注册表，作为供应链攻击的一部分。受影响的版本包含隐藏的恶意依赖，可能导致开发环境暴露。虽然Azure Pipelines未受影响，但使用自托管代理或第三方扩展的用户需审查管道运行，清理依赖缓存，并更换相关凭证。建议使用锁定版本和确定性安装以降低未来风险。

Bitwarden 的命令行工具 @bitwarden/cli@2026.4.0 版本遭到攻击，恶意代码被植入，可能导致用户敏感信息泄露，如 GitHub token 和 SSH 私钥。官方确认用户的 Vault 密码库未受影响。

npm 推出了 Trusted Publishing 机制，基于 OpenID Connect，允许通过 CI/CD 工作流安全发布，降低长期 token 泄露风险。每次发布使用短期凭证，建议开源项目逐步迁移至此机制，以增强供应链安全。

本文介绍了一个将微信聊天记录整合为命令行工具的项目——wechat-cli。用户可以通过npm或pip安装该工具，并需进行初始化以提取微信数据。安装过程中需注意权限设置，特别是在macOS上。完成安装后，用户可以使用命令查看最近会话和聊天记录。