Veille sécuritéFrontend
P3Critique
L’avis GHSA signale @angularr/cli, un paquet npm usurpant l’identité du CLI Angular et exécutant un script JavaScript distant durant son installation. Ne pas utiliser la version concernée et examiner les systèmes où elle a été installée.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GitHub Advisory GHSA-3954-6vvg-qq74
Analyse technique
Le hook preinstall exécute via Node.js un script distant non épinglé; l’avis mentionne également des communications sortantes pouvant transmettre des identifiants de l’hôte.
Impact, versions et correctif
Événement datéL’avis a été publié le 2026-10-05T00:30:37Z, dans la période; il signale un paquet malveillant, et non une vulnérabilité CVE.
ImpactL’installation peut exécuter du code distant arbitraire sous le compte de l’installateur et transmettre des informations d’identification de l’hôte.
Versions affectées@angularr/cli 22.2.1.
ContournementNe pas installer le paquet ; contrôler les journaux et l’environnement de toute machine où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T00:30:37Z
Mise à jour2026-10-05T00:30:38Z
Détection / vérification
Vérifier les dépendances npm pour @angularr/cli@22.2.1 ; ne pas confondre ce nom avec le paquet officiel @angular/cli.
Action recommandée
Ne pas installer @angularr/cli 22.2.1; si installé, isoler et examiner l’environnement ainsi que les secrets accessibles au compte npm.
Sources
Priorisation DFS : P3 · 1 source(s).