Veille sécuritéFrontend
P3Critique
L’avis signale du code malveillant dans common-fs 1.0.0, qui exécute un contenu JavaScript dissimulé lorsqu’un consommateur appelle getTransactions(). Ce comportement peut permettre l’exécution de code arbitraire dans le processus Node.js ; éviter cette version et retirer le paquet des environnements concernés.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-r4wp-96g3-9h5r — Malicious code in common-fs (npm)
Analyse technique
La fonction getTransactions() décode un contenu caché dans use.js et l’exécute avec le constructeur Function, en lui donnant accès à require et process.
Impact, versions et correctif
Événement datéAvis publié le 2026-09-30 à 00:32:25Z, dans la période demandée ; événement retenu : publication d’un avis de sécurité sur un paquet npm malveillant.
ImpactExécution de code arbitraire dans le processus Node.js du consommateur.
Versions affectéescommon-fs 1.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T00:32:25Z
Mise à jour2026-09-30T00:32:25Z
Action recommandée
Ne pas installer common-fs 1.0.0 ; supprimer cette version des dépendances et examiner les systèmes où elle a été utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).