Veille sécuritéBackend & données
P3Critique
L’avis signale que le paquet npm malveillant `tailwindcss-hook-forms` version 0.5.2 exécute du code arbitraire dans le processus Node.js lors de son import, avec accès aux capacités du processus. Évitez cette version et supprimez-la des dépendances si elle est installée ; aucun correctif n’est indiqué dans la source.
Node.js
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-7xfw-m762-wqw5 — Malicious code in tailwindcss-hook-forms (npm)
Analyse technique
Le paquet usurpe l’identité de `@tailwindcss/forms` et lance, à l’import, du code obfusqué avec accès à `require`, `process`, au système de fichiers et au réseau.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-11-11 à 21:31:13Z, dans la période demandée ; l’événement retenu est la publication de l’avis sur le paquet malveillant.
ImpactExécution de code arbitraire dans le processus Node.js du consommateur, avec accès aux ressources disponibles pour ce processus.
Versions affectées= 0.5.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-11T21:31:13Z
Mise à jour2026-11-11T21:31:20Z
Action recommandée
Éviter `tailwindcss-hook-forms` 0.5.2 et le retirer des dépendances s’il est présent ; examiner les systèmes où il a été importé.
Sources
Priorisation DFS : P3 · 1 source(s).