Veille sécuritéFrontend
P3Critique
L’avis signale que `@angulr/core@22.2.1` se fait passer pour le paquet Angular officiel et exécute un script JavaScript distant lors de l’installation. Ce script n’est pas épinglé ni contrôlé avant son exécution ; évitez le paquet et examinez les installations existantes.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-vx9x-cv7q-rq74 — Malicious code in @angulr/core (npm)
Analyse technique
Le hook `postinstall` récupère un script JavaScript distant non vérifié et le transmet à Node.js.
Impact, versions et correctif
Événement datéNouvel avis publié le 2026-10-05T06:30:29Z, dans la période demandée.
ImpactExécution de code arbitraire à l’installation, avec les privilèges de l’utilisateur.
Versions affectées@angulr/core 22.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T06:30:29Z
Mise à jour2026-10-05T06:30:30Z
Action recommandée
Ne pas installer @angulr/core@22.2.1 et vérifier les environnements où il aurait été installé.
Sources
Priorisation DFS : P3 · 1 source(s).