Veille sécuritéBackend & données
P3Critique
L’avis signale que xeprews@5.2.1 usurpe l’identité d’Express et lance du JavaScript distant pendant l’installation npm. Retirez le paquet et examinez les hôtes où le script d’installation a pu être exécuté.
ExpressJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-v76j-vqp4-68j8 — Malicious code in xeprews (npm)
Analyse technique
Le hook preinstall transmet à Node.js le code d’une branche distante mutable et non vérifiée ; le paquet reprend des métadonnées d’Express pour tromper les utilisateurs.
Impact, versions et correctif
Événement datéAvis publié le 2026-09-29 à 15:31:03Z, soit 17:31:03+02:00, dans la période demandée.
ImpactExécution de code arbitraire sur la machine lors de l’installation, avec les privilèges de l’utilisateur.
Versions affectéesxeprews npm 5.2.1
ContournementNe pas installer le paquet ; vérifier soigneusement le nom avant d’ajouter une dépendance Express.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-29T17:31:03+02:00
Mise à jour2026-09-29T17:31:09+02:00
Détection / vérification
Rechercher xeprews@5.2.1 et les scripts preinstall correspondants dans les manifestes et journaux d’installation npm.
Action recommandée
Supprimer xeprews@5.2.1 et rechercher toute exécution de son script d’installation sur les postes concernés.
Sources
Priorisation DFS : P3 · 1 source(s).