Un avis signale du code malveillant dans le paquet npm @testsecuiitytestme/cache-helper, qui exécute un module natif lors de l’installation et peut lancer une charge utile détachée. L’analyse rapportée décrit notamment la collecte de secrets de développement et des mécanismes de propagation; les versions 1.0.1 à 1.0.7 sont indiquées comme affectées, sans version corrigée précisée.
Analyse technique
L’avis décrit un chargeur natif déclenché à l’installation, qui décode et exécute une charge utile JavaScript via Bun. Il indique une analyse statique, sans exécution de l’échantillon.
Impact, versions et correctif
Action recommandée
Éviter d’installer ces versions; si elles ont été installées, isoler l’environnement concerné et traiter les secrets qui y étaient accessibles comme potentiellement compromis.
Sources
Priorisation DFS : P3 · 1 source(s).