npm 库 event-source-polyfill 在加载时弹出请愿书

[ChaosesIb]

event-source-polyfill 是一个在 npm 每周约 50 万次下载的库，依赖此库的知名软件包括 Gatsby 等。这个库的 1.0.26 版本（亦即目前的最新版本）添加了一段代码，会在用户处于特定时区时弹窗显示一段文字，并打开一个联署页面。

请 Gatsby 用户注意：Gatsby 的最新版本可能正在依赖 event-source-polyfill 1.0.26 (^1.0.25) 。

src: https://security.snyk.io/vuln/SNYK-JS-EVENTSOURCEPOLYFILL-2429580
CVSS (Snyk): 5.3

来源： https://t.me/outvivid/3526

[ChaosesIb]

受影响时区：
```js
[
"Asia/Anadyr", "Asia/Barnaul", "Asia/Chita", "Asia/Irkutsk", "Asia/Kamchatka",
"Asia/Khandyga", "Asia/Krasnoyarsk", "Asia/Magadan", "Asia/Novokuznetsk",
"Asia/Novosibirsk", "Asia/Omsk", "Asia/Sakhalin", "Asia/Srednekolymsk", "Asia/Tomsk",
"Asia/Ust-Nera", "Asia/Vladivostok", "Asia/Yakutsk", "Asia/Yekaterinburg",
"Europe/Astrakhan", "Europe/Kaliningrad", "Europe/Kirov", "Europe/Moscow",
"Europe/Samara", "Europe/Saratov", "Europe/Simferopol", "Europe/Ulyanovsk",
"Europe/Volgograd", "W-SU"
].indexOf(new Intl.DateTimeFormat().resolvedOptions().timeZone)
```

[gadfly3173]

根据 issue 你还会发现在一些旧版本浏览器上会因为时区判断的逻辑导致异常

[ljspython]

感觉有病

[reiji]

npm 的社区信任在不断地被破坏

[cslive]

前端娱乐圈