Code malveillant dans animatecss-tailwind-plugin

Veille sécuritéFrontend

P3Critique

Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `animatecss-tailwind-plugin` en version 2.0.6. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-gqf2-w3vm-g87w — Malicious code in animatecss-tailwind-plugin (npm)

Analyse technique

Le paquet requiert `@aaron205whitmore/postcss-animate-utils` depuis `src/motion.js`; le code livré par cette dépendance privée n’a pas été obtenu. L’avis précise que la version publiée ne contient ni script d’installation ni code réseau.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-20 à 06:31:16Z, soit le 2026-10-20 à 08:31:16+02:00, dans la période retenue.

ImpactLe chargement du plugin peut exécuter le code de sa dépendance privée lors du démarrage du serveur de développement ; la charge utile et ses effets précis ne sont pas établis.

Versions affectées2.0.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-20T06:31:16Z

Mise à jour2026-10-20T06:31:18Z

Action recommandée

Ne pas utiliser la version 2.0.6 ; retirer ce paquet et examiner les dépôts et environnements où il a été chargé.

Sources

GHSA-gqf2-w3vm-g87w — Malicious code in animatecss-tailwind-plugin (npm)

Priorisation DFS : P3 · 1 source(s).