Veille sécuritéFrontend
P3Critique
L’avis signale que le paquet npm typosquattant `express-javascript` lance un script JavaScript distant lors de son installation. Le script provient d’une branche mutable, sans contrôle d’intégrité, et son exécution peut donner à son auteur le contrôle de code sur la machine qui installe le paquet.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-2m2v-6g9c-m674 — Malicious code in express-javascript (npm)
Analyse technique
Le hook `preinstall` récupère un fichier JavaScript distant puis le transmet directement à Node.js.
Impact, versions et correctif
Événement datéAvis initial publié le 2026-09-29T15:31:01Z, hors période; sa mise à jour datée du 2026-10-06T00:33:06Z, soit le 2026-10-06T02:33:06+02:00, est retenue comme avis de sécurité dans la période.
ImpactExécution de code arbitraire sur la machine lors de l’installation du paquet.
Versions affectées= 5.2.1, = 5.2.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-06T02:33:06+02:00
Mise à jour2026-10-06T02:33:06+02:00
Action recommandée
Éviter d’installer `express-javascript`; vérifier les dépendances npm et retirer le paquet s’il est présent.
Sources
Priorisation DFS : P3 · 1 source(s).