Veille sécuritéFrontend
P2Critique
L’avis signale du code malveillant dans le paquet npm fcefi-wdojs-util, version 1.0.0. À chaque chargement du paquet, un chargeur exécute du JavaScript dissimulé dans le manifeste, sauf lorsque certains environnements CI ou de bac à sable sont détectés.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Analyse technique
Le chargeur décompresse un tableau numérique caché dans package.json et exécute le résultat via le constructeur Function. Le paquet contient aussi un fichier opaque volumineux présenté comme un fichier de configuration.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-11-11 à 21:31:13Z, soit le 2026-11-11 à 23:31:13+02:00, dans la période demandée.
ImpactLe chargement du paquet peut exécuter du code JavaScript arbitraire sur l’hôte.
Versions affectéesfcefi-wdojs-util 1.0.0
Exploitation activerapportée, à confirmer
PoC publicinconnu
Publication2026-11-11T23:31:13+02:00
Mise à jour2026-11-11T23:31:13+02:00
Action recommandée
Éviter d’installer ou d’exécuter cette version ; retirer le paquet des dépendances et examiner les systèmes où il a été chargé.
Sources
Priorisation DFS : P2 · 1 source(s).