Paquet npm malveillant @newspage/lib-ng-async-routes-ui

Veille sécuritéBackend & données

P3Critique

Les versions 99.99.4 et versions antérieures de ce paquet npm malveillant contactent un serveur contrôlé par l’attaquant lorsqu’elles sont chargées par `require` ou `import`. L’avis décrit une campagne de confusion de dépendances visant des paquets internes ; évitez ces versions et vérifiez les dépendances installées.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-5m6v-q7rf-gh3x — Malicious code in @newspage/lib-ng-async-routes-ui (npm)

Analyse technique

Le code de index.js effectue une requête HTTPS vers accenture-npm.azurewebsites.net lors du chargement du paquet. L’avis indique que le champ main mène à une résolution de secours vers index.js ; le script preinstall est vide.

Impact, versions et correctif

Événement datéAvis GitHub publié le 2026-10-14 à 06:30:54Z, soit 08:30:54+02:00 ; il signale un paquet npm malveillant, et non une simple modification administrative.

ImpactLe chargement du paquet déclenche une requête vers un hôte contrôlé par l’attaquant ; l’avis ne précise pas d’autre impact.

Versions affectéesVersions publiées, notamment 99.99.4 ; l’avis indique une plage affectée supérieure à 0.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-14T08:30:54+02:00

Mise à jour2026-10-14T08:30:56+02:00

Action recommandée

Éviter les versions affectées ; rechercher ce paquet dans les dépendances et examiner les systèmes où il a été chargé.

Sources

GHSA-5m6v-q7rf-gh3x — Malicious code in @newspage/lib-ng-async-routes-ui (npm)

Priorisation DFS : P3 · 1 source(s).