Apifox 供应链投毒 18 天：修复后未公告，曝光后才承认安全漏洞

API 开发协作平台 Apifox 的公网 SaaS 版桌面客户端近期遭遇供应链攻击。3 月 4 日至 22 日期间，客户端动态加载的事件追踪 JS 文件被篡改为恶意版本，可能读取用户 SSH 密钥、Git 凭证等敏感文件，并上报至仿冒域名。该域名极具迷惑性，攻击者还可借此发起横向渗透。

Apifox 于 3 月 23 日发布 v2.8.19 版本修复漏洞，将 JS 文件改为本地内置，但修复后未发布安全公告。直至 3 月 25 日安全研究员公开分析后，Apifox 当晚才补发正式公告。

此次事件仅影响公网 SaaS 版桌面客户端用户，Web 版和私有化部署版不受影响。Apifox 建议风险时间段内使用过受影响版本的开发者立即轮换所有敏感凭证，并检查服务器是否存在异常登录。