L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : les versions 3.0.0, 3.0.1 et 3.0.2 requièrent une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Source : GHSA-8vv2-m423-rcx4 — Malicious code in tailwindcss-keyframe-kit (npm)
Analyse technique
Le paquet requiert @aaron205whitmore/postcss-animate-utils ; l’avis précise que le tarball publié ne contient ni script d’installation ni code réseau et que la charge utile de la dépendance privée n’a pas été récupérée.
Impact, versions et correctif
Détection / vérification
Vérifier si le projet dépend de tailwindcss-keyframe-kit et retirer les versions concernées.
Action recommandée
Éviter ces versions et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
Sources
Priorisation DFS : P3 · 1 source(s).