Veille sécuritéFrontend
P3Critique
L’avis décrit `@nagular/core` 1.0.67 comme paquet npm malveillant dont le script `preinstall` télécharge et exécute un payload JavaScript tiers. Le nom peut être confondu avec le paquet Angular ; ne l’installez pas et supprimez-le des projets où il figure.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-wxf9-85p5-gwhp — Malicious code in @nagular/core
Analyse technique
Le hook `preinstall` exécute dans Node un payload distant non épinglé et sans contrôle d’intégrité.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05T00:30:37Z, dans la période demandée.
ImpactExécution de code distant au cours de l’installation npm.
Versions affectées@nagular/core 1.0.67
ContournementNe pas installer le paquet ; retirer la dépendance et vérifier les systèmes où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T00:30:37Z
Mise à jour2026-10-05T00:30:38Z
Détection / vérification
Rechercher @nagular/core@1.0.67 dans les dépendances npm et les fichiers de verrouillage.
Action recommandée
Éviter l’installation ; si le paquet a été installé, le retirer et examiner l’hôte ainsi que les secrets accessibles au processus npm.
Sources
Priorisation DFS : P3 · 1 source(s).