Un paquet npm malveillant nommé scdn-jquery, distinct du projet officiel jQuery, contient en version 0.1.6 un chargeur obfusqué qui, lorsqu’il est servi comme script de navigateur, charge du code distant et insère une iframe invisible. Retirer ce paquet et toute copie de ses fichiers servis; aucune version corrigée n’est indiquée dans l’avis consulté.
Source : GitHub Advisory Database — Malicious code in scdn-jquery (npm)
Analyse technique
Le chargeur embarqué décode et charge un script distant, lequel ajoute un beacon et une iframe invisible. L’avis indique un ciblage conditionnel d’appareils iOS; il ne signale pas d’exécution lors de l’installation npm.
Impact, versions et correctif
Détection / vérification
Vérifier les dépendances npm et les fichiers JavaScript servis par le site pour repérer le paquet scdn-jquery en version 0.1.6.
Action recommandée
Supprimer le paquet et ses ressources publiées, puis vérifier les scripts servis et le processus d’ajout des dépendances.
Sources
Priorisation DFS : P4 · 1 source(s).