2024 年 3 月披露的 CVE-2024-3094 涉及 xz／liblzma 5.6.0 與 5.6.1 版本的後門。OpenSSF 說明該植入程式碼針對特定建置條件與發行套件，並建議受影響使用者停止使用並降級。事件提醒：原始碼可見不代表有人充分審查；高信任依賴、長期維護權、建置產物與發布流程都可能成為攻擊面。
思與行
- 將這份材料與開源的透明性必須搭配安全流程的論點對讀，分辨它提供的是定義、經驗證據還是政策主張。
- 檢查研究方法與適用範圍，避免把單一案例推廣為所有開源專案的普遍規律。
參考
- 來源：OpenSSF：xz Backdoor CVE-2024-3094。說明 2024 年 xz/liblzma 後門事件與受影響版本，凸顯供應鏈風險。
- 延伸脈絡：開源的透明性必須搭配安全流程、維護者的隱形勞動是數位基礎設施的一部分。
脈絡：開源思想與授權概念地圖 · Open_source。