Veille sécuritéFrontend
P2Critique
L’avis signale du code malveillant dans plusieurs versions du paquet npm strutil-helpers-core. Le chargement du paquet tente d’utiliser un module natif et un fichier opaque pour mettre en scène puis exécuter du JavaScript, avec des vérifications destinées à éviter les environnements d’analyse.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Analyse technique
L’avis décrit des modules natifs Linux et Windows ainsi qu’un fichier de données opaque. Le module vérifie des indicateurs de CI, de bac à sable et de débogage avant de décoder et d’exécuter du JavaScript.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-11-11 à 21:31:13Z, soit le 2026-11-11 à 23:31:13+02:00, dans la période demandée.
ImpactLe chargement du paquet peut conduire à l’exécution de JavaScript sur l’hôte.
Versions affectéesstrutil-helpers-core 1.0.1, 1.0.2, 1.0.3, 1.0.4 et 1.0.5
Exploitation activerapportée, à confirmer
PoC publicinconnu
Publication2026-11-11T23:31:13+02:00
Mise à jour2026-11-11T23:31:21+02:00
Action recommandée
Éviter d’installer ou d’exécuter les versions concernées ; retirer le paquet des dépendances et examiner les systèmes où il a été chargé.
Sources
Priorisation DFS : P2 · 1 source(s).