M-Red-Team：经由 GitHub Actions 的 AsyncAPI 供应链失陷事件

攻击者利用 asyncapi/generator 仓库 GitHub Actions 工作流中的 pwn request 类漏洞窃取高权限 bot Token，发布 4 个恶意 @asyncapi npm 包（共 5 个版本）。载荷在 import 时执行，而社区早前提交的修复在攻击发生时仍未合并。