L’avis porte sur un paquet npm malveillant, @mobile-platform/magnetic-components, dont l’installation exécute un script preinstall. Les versions 0.0.1 et 0.0.2 écrivent un fichier marqueur, tandis que la version 0.0.3 effectue une requête DNS vers un domaine de rappel; les données fournies ne signalent pas d’exfiltration d’autres données.
Analyse technique
Le paquet est décrit comme un risque de confusion de dépendance : un build qui résout le nom sur le registre public peut exécuter son code avec les privilèges de l’utilisateur qui l’installe. Aucun correctif n’est indiqué dans les éléments fournis.
Impact, versions et correctif
Action recommandée
Éviter l’installation des versions signalées et vérifier les dépendances npm afin que le nom scoped soit résolu depuis la source privée attendue.
Sources
Priorisation DFS : P4 · 1 source(s).