L’avis signale que `claims-ac1` 1.0.0 installe une dépendance dont le script `preinstall` peut transmettre à un hôte tiers des informations sur la machine et l’environnement Node.js. Le paquet n’a pas de fonctionnalité légitime identifiée; retirez-le des environnements où il a été installé.
Source : GitHub Advisory Database — Malicious code in claims-ac1 (npm)
Analyse technique
Le code d’installation récupère une adresse de collecte hébergée dans un dépôt GitHub, puis peut envoyer par HTTPS la version de Node.js, le répertoire personnel et le répertoire courant, ainsi que la plateforme et l’architecture. La vérification du certificat TLS est désactivée; le code et l’adresse de collecte peuvent changer sans nouvelle publication npm.
Impact, versions et correctif
Action recommandée
Supprimer `claims-ac1` 1.0.0 des environnements concernés et examiner les systèmes sur lesquels il a été installé.
Sources
Priorisation DFS : P4 · 1 source(s).