Paquet npm malveillant se faisant passer pour un utilitaire d’accessibilité

Veille sécuritéCMS & e-commerce

P4Non déterminée

Le paquet npm `css-a11y-contrast-utils` version 1.0.0 est signalé comme malveillant et usurpe des modules internes Wix. Malgré son nom d’utilitaire d’accessibilité, son chargement collecte et exfiltre des informations sur l’hôte; aucune version corrigée n’est indiquée.

IdentifiantAvis de sécurité

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-4hxq-p3xc-m5cr — Malicious code in css-a11y-contrast-utils

Analyse technique

Selon la description du candidat, le paquet déclenche une reconnaissance système à l’import et transmet les résultats via DNS et HTTP; son manifeste référence des chemins associés à Wix.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-05 à 00:30:39Z, soit 2026-10-05T02:30:39+02:00, dans la période demandée.

ImpactRisque de divulgation d’informations sur l’hôte et de compromission de l’environnement de construction si le paquet est chargé.

Versions affectées1.0.0

ContournementRetirer le paquet et vérifier les systèmes où il a été installé ou chargé.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-05T02:30:39+02:00

Mise à jour2026-10-05T02:30:41+02:00

Détection / vérification

Rechercher css-a11y-contrast-utils@1.0.0 dans les dépendances npm et fichiers de verrouillage; retirer le paquet et examiner les systèmes concernés.

Action recommandée

Bloquer et supprimer `css-a11y-contrast-utils@1.0.0`; examiner les environnements où il a été utilisé et les éventuelles sorties réseau.

Sources

GHSA-4hxq-p3xc-m5cr — Malicious code in css-a11y-contrast-utils

Priorisation DFS : P4 · 1 source(s).