Veille sécuritéFrontend
P3Critique
L’avis signale du code malveillant dans items-validator@1.0.5, qui lance un processus persistant et exécute du code JavaScript distant dans le processus Node.js. Retirez cette version et examinez les systèmes où elle a été installée.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-hvv9-35pw-8qvf — Malicious code in items-validator (npm)
Analyse technique
À l’importation, le paquet démarre un processus détaché qui récupère du code auprès d’un serveur distant et l’exécute avec les privilèges de l’utilisateur.
Impact, versions et correctif
Événement datéAvis publié le 2026-09-29 à 00:31:24Z, soit 02:31:24+02:00, dans la période demandée.
ImpactExécution de code JavaScript distant avec les privilèges du compte qui installe ou utilise le paquet.
Versions affectéesitems-validator npm 1.0.5
ContournementNe pas installer ni utiliser la version affectée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-29T02:31:24+02:00
Mise à jour2026-09-29T02:31:25+02:00
Détection / vérification
Rechercher le paquet dans les dépendances npm et les artefacts installés ; vérifier les scripts de cycle de vie et retirer le paquet.
Action recommandée
Retirer items-validator@1.0.5 des dépendances et vérifier les hôtes sur lesquels il a été installé.
Sources
Priorisation DFS : P3 · 1 source(s).