Em 31 de março de 2026, as versões axios@1.14.1 e axios@0.30.4 foram publicadas com código malicioso por um atacante que comprometeu a conta do mantenedor principal. Essas versões continham a dependência plain-crypto-js@4.2.1, um RAT (Remote Access Trojan) multiplataforma atribuído ao grupo norte-coreano UNC1069 / Sapphire Sleet.

Este projeto usa axios@1.14.0 (pinado sem ^), garantindo que um npm install não instale automaticamente uma versão comprometida.

1. Rotacione imediatamente todos os tokens e credenciais no .env
2. Faça downgrade: npm install axios@1.14.0
3. Verifique logs do sistema por conexões suspeitas
4. Consulte o advisory oficial

• Microsoft Security Blog
• Huntress Analysis
• Google Cloud / Mandiant
• CISA Advisory
• axios Post Mortem Issue #10636

Não abra uma issue pública para vulnerabilidades de segurança.

Para reportar uma vulnerabilidade neste projeto:

1. Envie um e-mail privado ou abra uma GitHub Security Advisory
2. Inclua: descrição detalhada, passos para reproduzir, impacto potencial
3. Você receberá uma resposta em até 72 horas
4. Vulnerabilidades confirmadas serão corrigidas e um advisory público será publicado

Agradecemos quem contribui responsavelmente com a segurança do projeto. 🙏