Code malveillant dans tailwind-kinetic - developpeur-full-stack.fr

Veille sécuritéFrontend

P3Critique

Un avis GitHub publié le 2026-10-20 signale le paquet npm malveillant `tailwind-kinetic` dans les versions 2.0.6 et 2.0.8. Son chargement dans la configuration Tailwind déclenche l’appel à une dépendance privée dont la charge utile n’a pas été récupérée ; aucune version corrigée n’est indiquée.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-h6pg-m44p-2×74 — Malicious code in tailwind-kinetic (npm)

Analyse technique

Le paquet requiert `@aaron205whitmore/postcss-animate-utils` depuis `src/motion.js`; le code livré par cette dépendance privée n’a pas été obtenu. L’avis précise que les versions publiées ne contiennent ni script d’installation ni code réseau.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-20 à 06:31:16Z, soit le 2026-10-20 à 08:31:16+02:00, dans la période retenue.

ImpactLe chargement du plugin peut exécuter le code de sa dépendance privée lors du démarrage du serveur de développement ; la charge utile et ses effets précis ne sont pas établis.

Versions affectées2.0.6, 2.0.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-20T06:31:16Z

Mise à jour2026-10-20T06:31:18Z

Action recommandée

Ne pas utiliser les versions 2.0.6 ou 2.0.8 ; retirer ces versions et examiner les dépôts et environnements où elles ont été chargées.

Sources

GHSA-h6pg-m44p-2×74 — Malicious code in tailwind-kinetic (npm)

Priorisation DFS : P3 · 1 source(s).