PRIMARY-SOURCE REVIEW · 2026-11-03T16:20:00+09:00
PyPI：不正パッケージ2勧告、対象版と導入履歴を確認
今回の公開窓でPyPIのmalware勧告2件を確認。これは勧告数で、端末数・侵害件数ではない。各勧告のpackage名・対象バージョンは下表に原APIの条件を保持し、修正版未記載を安全な版へ置き換えない。
確認すること
Python起動・importの履歴とlockfile・配布イメージを照合する。該当環境を隔離し、クリーンな別環境で鍵を失効・再発行する。削除だけで常駐コードが消えたと判断せず、再構築とログ調査を行う。
修正版は勧告の記載がある場合だけ示します。勧告数は被害件数ではありません。
勧告別：対象バージョンと修正版（2件）
GHSA-25jm-3g7h-jgf6
Malicious code in pyprig (PyPI)
pyprig(pip): 対象= 1.2.0→ 修正版修正版の記載なしpyprig(pip): 対象= 1.2.1→ 修正版修正版の記載なしpyprig(pip): 対象= 1.2.2→ 修正版修正版の記載なし
GHSA-8wmf-9cp5-g5hq
Malicious code in wallet-tracking (PyPI)
wallet-tracking(pip): 対象> 0→ 修正版修正版の記載なしwallet-tracking(pip): 対象= 1.0.0→ 修正版修正版の記載なしwallet-tracking(pip): 対象= 1.0.1→ 修正版修正版の記載なしwallet-tracking(pip): 対象= 1.0.3→ 修正版修正版の記載なしwallet-tracking(pip): 対象= 1.0.4→ 修正版修正版の記載なしwallet-tracking(pip): 対象= 1.0.5→ 修正版修正版の記載なしwallet-tracking(pip): 対象= 1.0.6→ 修正版修正版の記載なし
一次資料
関連する論点
DBHub：MySQL・MariaDBでread-onlyを回避、0.22.6で修正 · SD-JWT：改変Disclosureの黙示的な除外と認可条件 · npm：不正パッケージ92勧告、対象版と導入履歴を確認 · RubyGems：不正パッケージ3勧告、対象版と導入履歴を確認