黑客利用被泄露的 GitHub CLI OAuth 令牌，在 PyPI 和 Docker 上推送并批准了恶意软件包。