Paquet npm malveillant @newspage/libx-amount

Veille sécuritéBackend & données

P3Critique

Les versions 99.99.4 et 99.99.41 de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou `import`. L’avis rattache le paquet à une campagne de confusion de dépendances visant des paquets internes ; évitez les versions concernées et vérifiez les dépendances installées.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-49j3-qrv4-xgwv — Malicious code in @newspage/libx-amount (npm)

Analyse technique

Le code de index.js effectue des requêtes HTTPS vers accenture-npm.azurewebsites.net lors du chargement du paquet. L’avis indique que le champ main mène à une résolution de secours vers index.js ; le script preinstall est vide.

Impact, versions et correctif

Événement datéAvis GitHub publié le 2026-10-14 à 06:30:54Z, soit 08:30:54+02:00 ; il signale un paquet npm malveillant, et non une simple modification administrative.

ImpactLe chargement du paquet déclenche des requêtes vers un hôte contrôlé par l’attaquant ; l’avis ne précise pas d’autre impact.

Versions affectéesVersions publiées, notamment 99.99.4 et 99.99.41 ; l’avis indique une plage affectée supérieure à 0.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-14T08:30:54+02:00

Mise à jour2026-10-14T08:30:56+02:00

Action recommandée

Éviter les versions affectées ; rechercher ce paquet dans les dépendances et examiner les systèmes où il a été chargé.

Sources

GHSA-49j3-qrv4-xgwv — Malicious code in @newspage/libx-amount (npm)

Priorisation DFS : P3 · 1 source(s).