X.js 发布覆盖至2026年的 Node.js 污点风格漏洞实时基准测试

X.js 是一个针对 Node.js 生态中真实存在的污点风格漏洞（包括代码注入、命令注入、原型污染和路径遍历）的实时基准测试集，其数据收集截止至2026年年中，解决了现有数据集仅更新至2022年的时效性问题。该基准包含1,738条来自 GitHub Advisory Database 的安全公告，并提供了精确的源与汇位置、已验证的可执行利用载荷及其执行轨迹，当前版本包含965个包的1,159个已验证利用载荷。

研究发现显示，Node.js 漏洞的分布结构正在发生显著变化：易受攻击包的代码行数中位数从2021-2022年的约250行增长至2026年的6,100行，表明大型包中的漏洞报告频率正在上升。为确保持续可用性，该项目通过自托管注册表镜像依赖项以防包被移除，并建立专用基础设施以生成和验证新报告的漏洞利用程序。

这一发现意味着安全评估工具若基于旧数据训练或测试，可能无法有效识别当前主流的大型依赖包中的复杂漏洞模式。事实层面确认了漏洞规模随时间扩大的趋势；推断层面认为现有的静态分析策略需重新适配大包环境；猜测层面在于未来是否会出现针对此类大包特性的自动化防御机制。