在各种安全论坛上，我看到了一篇关于虚构恶意 NPM 包收集信息的帖子的链接。帖子标题：

我正在从您的网站收集信用卡号和密码。就是这样。

我认为帖子中最好的报价：

对我来说幸运的是，我们生活在一个人们安装 npm 包的时代，就像他们正在弹出止痛药一样。

这导致我们公司讨论了恶意 NPM 包是否适合OWASP 2017 年前十名。我认为它可以分为以下几类：

• A6:2017-Security Misconfiguration
  描述说：“不仅所有操作系统、框架、库和应用程序都必须安全配置......”。例如，如果您有一个恶意库可以做某事，因为您CSP的配置不正确，我会将其归为此类。

• A7:2017-Cross-Site Scripting (XSS)
  如果库启用了 XSS 漏洞，它将属于此类别。

• A9:2017-使用具有已知漏洞
  的组件 如果已知库是恶意的，它将属于这一类。

• A10:2017-Insufficient Logging&Monitoring
  如果未检测到攻击，则意味着我们的日志记录不足。有各种用于记录客户端 JavaScript 的库，并且可以在此处检查传出请求。当然，恶意库可以尝试禁用此功能，但它仍可能属于此类。

这是正确的还是超出 OWASP Top Ten 2017 范围的恶意 NPM 包？