Veille sécuritéFrontend
P3Critique
L’avis identifie `@angularr/core` 1.0.67 comme paquet npm malveillant : son script `preinstall` exécute un JavaScript récupéré auprès d’un tiers sans vérification. Le nom imite `@angular/core` ; ne l’installez pas et retirez-le des projets concernés.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-9rxx-xxjx-v9w8 — Malicious code in @angularr/core
Analyse technique
Le `preinstall` télécharge un payload JavaScript non épinglé depuis un emplacement tiers et le passe directement à Node.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05T00:30:37Z, dans la période demandée.
ImpactExécution de code distant au cours de l’installation npm.
Versions affectées@angularr/core 1.0.67
ContournementNe pas installer le paquet ; retirer la dépendance et vérifier les systèmes où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T00:30:37Z
Mise à jour2026-10-05T00:30:38Z
Détection / vérification
Rechercher @angularr/core@1.0.67 dans les dépendances npm et les fichiers de verrouillage.
Action recommandée
Éviter l’installation ; si le paquet a été installé, le retirer et examiner l’hôte ainsi que les secrets accessibles au processus npm.
Sources
Priorisation DFS : P3 · 1 source(s).