Paquet npm malveillant dissimulant une charge de reconnaissance

Veille sécuritéCMS & e-commerce

P4Non déterminée

Le paquet npm `css-env-function-shim` version 1.0.0 est signalé comme malveillant et imite des modules internes Wix. Il exécute des commandes système à l’import et masque certains éléments de sa charge utile; aucune version corrigée n’est indiquée.

IdentifiantAvis de sécurité

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-592h-fp69-gpjf — Malicious code in css-env-function-shim

Analyse technique

La description du candidat rapporte une exfiltration HTTP/DNS et des chaînes reconstruites à l’exécution; le manifeste renvoie à des noms de registres Thunderbolt associés à Wix.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-05 à 00:30:39Z, soit 2026-10-05T02:30:39+02:00, dans la période demandée.

ImpactRisque de divulgation d’informations sur l’hôte et de compromission de l’environnement de construction si le paquet est chargé.

Versions affectées1.0.0

ContournementRetirer le paquet et vérifier les systèmes où il a été installé ou chargé.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-05T02:30:39+02:00

Mise à jour2026-10-05T02:30:41+02:00

Détection / vérification

Rechercher css-env-function-shim@1.0.0 dans les dépendances npm et fichiers de verrouillage; retirer le paquet et examiner les systèmes concernés.

Action recommandée

Bloquer et supprimer `css-env-function-shim@1.0.0`; examiner les environnements où il a été utilisé et les éventuelles sorties réseau.

Sources

GHSA-592h-fp69-gpjf — Malicious code in css-env-function-shim

Priorisation DFS : P4 · 1 source(s).