Veille sécuritéFrontend
P3Critique
Le paquet npm `@abgular/core` version 22.2.1 est un typosquat de `@angular/core` dont le script `postinstall` récupère et exécute du JavaScript distant non vérifié. N’installez pas ce paquet; s’il est présent, supprimez-le et vérifiez les systèmes où il a été installé.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-58jj-ccq3-fxq3 — Malicious code in @abgular/core (npm)
Analyse technique
Le script transmet à Node.js un fichier JavaScript distant, non épinglé et sans vérification d’intégrité, pendant l’installation npm.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05 à 06:30:29Z (08:30:29+02:00), dans la période demandée.
ImpactExécution de code JavaScript distant avec les privilèges de la personne qui installe le paquet.
Versions affectées= 22.2.1
ContournementNe pas installer le paquet; le supprimer s’il est présent et examiner les systèmes où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T08:30:29+02:00
Mise à jour2026-10-05T08:30:31+02:00
Détection / vérification
Vérifier les dépendances npm et scripts postinstall ; rechercher @abgular/core.
Action recommandée
Éviter l’installation; supprimer le paquet s’il est déjà installé et contrôler les systèmes concernés.
Sources
Priorisation DFS : P3 · 1 source(s).