Veille sécuritéBackend & données
P3Critique
L’avis décrit express-nodejs@5.2.1 comme un paquet usurpant Express dont le hook de préinstallation exécute un script distant avec Node.js. Ne pas installer cette version; si elle a été installée, considérer l’environnement d’installation comme potentiellement compromis.
ExpressNode.js
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Analyse technique
Le hook transmet à Node.js le contenu récupéré depuis une branche distante mutable, sans épinglage ni contrôle d’intégrité rapporté par l’avis.
Impact, versions et correctif
Événement datéLa source fournie indique une publication à 2026-09-29T15:31:02Z, soit 2026-09-29T17:31:02+02:00, dans l’intervalle.
ImpactExécution de code arbitraire sur la machine pendant l’installation npm.
Versions affectéesexpress-nodejs 5.2.1.
ContournementNe pas installer le paquet; le retirer et examiner les systèmes où son script d’installation a pu s’exécuter.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-29T17:31:02+02:00
Mise à jour2026-09-29T17:31:03+02:00
Détection / vérification
Rechercher express-nodejs@5.2.1 dans les dépendances et fichiers de verrouillage; ne pas lancer d’installation de ce paquet.
Action recommandée
Ne pas installer express-nodejs@5.2.1; si l’installation a eu lieu, isoler et examiner la machine, puis renouveler les secrets potentiellement exposés.
Sources
Priorisation DFS : P3 · 1 source(s).