Veille sécuritéFrontend
P3Critique
L’avis signale `@babell/core` 8.0.6, paquet npm qui se fait passer pour `@babel/core` et exécute un script distant non vérifié pendant l’installation. Ne l’installez pas et retirez-le des dépendances si nécessaire.
BabelJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-9hmh-c2v6-5rx3 — Malicious code in @babell/core
Analyse technique
Un script `preinstall` télécharge un payload depuis un hôte tiers et l’exécute dans Node, avec les privilèges de l’utilisateur.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05T00:30:37Z, dans la période demandée.
ImpactExécution de code distant lors de l’installation npm.
Versions affectées@babell/core 8.0.6
ContournementNe pas installer le paquet ; retirer la dépendance et vérifier les systèmes où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T00:30:37Z
Mise à jour2026-10-05T00:30:38Z
Détection / vérification
Rechercher @babell/core@8.0.6 dans les dépendances npm et les fichiers de verrouillage.
Action recommandée
Éviter l’installation ; si le paquet a été installé, le retirer et examiner l’hôte ainsi que les secrets accessibles au processus npm.
Sources
Priorisation DFS : P3 · 1 source(s).