Veille sécuritéBackend & données
P3Critique
L’avis signale que express-javascript@5.2.1 usurpe l’identité d’Express et exécute un script distant durant la préinstallation. Ne pas installer cette version; si elle a été installée, traiter la machine de développement comme potentiellement compromise.
ExpressJavaScriptNode.js
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Analyse technique
Le hook preinstall récupère depuis une branche distante mutable un script JavaScript et le transmet à Node.js sans vérification d’intégrité, selon l’avis.
Impact, versions et correctif
Événement datéLa source fournie indique une publication à 2026-09-29T15:31:01Z, soit 2026-09-29T17:31:01+02:00, dans l’intervalle.
ImpactExécution de code arbitraire sur la machine pendant l’installation npm.
Versions affectéesexpress-javascript 5.2.1.
ContournementNe pas installer le paquet ; vérifier soigneusement le nom avant d’ajouter une dépendance Express.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-29T17:31:01+02:00
Mise à jour2026-09-29T17:31:02+02:00
Détection / vérification
Rechercher express-javascript@5.2.1 dans les dépendances et fichiers de verrouillage; ne pas lancer d’installation de ce paquet.
Action recommandée
Ne pas installer express-javascript@5.2.1; si l’installation a eu lieu, isoler et examiner la machine, puis renouveler les secrets potentiellement exposés.
Sources
Priorisation DFS : P3 · 1 source(s).