L’avis GHSA-2cph-9873-fh57 signale du code malveillant dans le paquet npm formatting-subtitles@1.0.2. Son script preinstall exécute des commandes shell qui contactent un collecteur externe et téléchargent puis exécutent un script depuis un GitHub Gist, exposant la machine qui lance l’installation à l’exécution de code arbitraire et à une fuite de métadonnées.
Source : GHSA-2cph-9873-fh57 — Malicious code in formatting-subtitles (npm)
Analyse technique
Le paquet déclare un script preinstall qui exécute prepare.js avec /bin/sh. Le script contacte webhook.site et récupère un fichier depuis un Gist GitHub mutable avant de l’exécuter avec sh.
Impact, versions et correctif
Détection / vérification
Vérifier si le projet utilise formatting-subtitles@1.0.2 et examiner les scripts de cycle de vie npm, notamment preinstall.
Action recommandée
Éviter d’installer formatting-subtitles@1.0.2. Si ce paquet a été installé, isoler la machine concernée, enquêter sur l’exécution du script et rechercher d’éventuelles données ou secrets exposés.
Sources
Priorisation DFS : P3 · 1 source(s).