Veille sécuritéFrontend
P3Critique
L’avis signale que `@anfular/core@22.2.1` imite le paquet officiel `@angular/core` et exécute un script JavaScript distant via un hook `postinstall`. Le script n’est ni épinglé ni vérifié et s’exécute avec les privilèges de l’utilisateur ; évitez ce paquet et contrôlez les dépendances installées.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-857q-84q8-fxgx — Malicious code in @anfular/core (npm)
Analyse technique
Le hook `postinstall` télécharge un script JavaScript distant depuis un hôte sans lien avec l’éditeur Angular et le transmet à Node.js.
Impact, versions et correctif
Événement datéNouvel avis publié le 2026-10-05T06:30:29Z, dans la période demandée.
ImpactExécution de code arbitraire à l’installation, avec les privilèges de l’utilisateur.
Versions affectées@anfular/core 22.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T06:30:29Z
Mise à jour2026-10-05T06:30:29Z
Action recommandée
Ne pas installer @anfular/core@22.2.1 et vérifier les environnements où il aurait été installé.
Sources
Priorisation DFS : P3 · 1 source(s).