Veille sécuritéBackend & données
P3Critique
L’avis signale que react-nodejs 19.3.0 exécute, pendant l’installation npm, un script JavaScript récupéré depuis une branche mutable d’un dépôt tiers. Cette usurpation du nom et de l’identité de React peut mener à l’exécution de code sur la machine d’installation ; éviter le paquet et vérifier les environnements où il a été installé.
JavaScriptNode.jsReact
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-wvw7-9m69-qw5x — Malicious code in react-nodejs (npm)
Analyse technique
Le hook preinstall lance curl sur une URL tierce puis transmet le contenu à node, sans épinglage ni vérification décrits dans l’avis.
Impact, versions et correctif
Événement datéAvis publié le 2026-09-30 à 00:32:27Z, dans la période demandée ; événement retenu : publication d’un avis de sécurité sur un paquet npm malveillant.
ImpactExécution de code distant sur la machine lors de l’installation du paquet.
Versions affectéesreact-nodejs 19.3.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T00:32:27Z
Mise à jour2026-09-30T00:32:31Z
Action recommandée
Ne pas installer react-nodejs 19.3.0 ; si le paquet a été installé, examiner la machine et les processus d’installation concernés.
Sources
Priorisation DFS : P3 · 1 source(s).