Veille sécuritéFrontend
P3Critique
L’avis classe `dotenv-preflight@1.0.0` comme paquet malveillant et décrit un module JavaScript fortement obfusqué. Son chargement peut exécuter le code du paquet dans le contexte du consommateur ; l’avis ne fournit pas de correctif.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-9gqp-7mp4-44qm — Malicious code in dotenv-preflight (npm)
Analyse technique
L’avis rapporte une obfuscation poussée du fichier JavaScript principal et un risque de comportement malveillant. Il ne précise pas de version corrigée.
Impact, versions et correctif
Événement datéL’avis indique une mise à jour le 2026-10-01T06:31:28Z, soit 2026-10-01T08:31:28+02:00, dans l’intervalle demandé. La publication initiale est antérieure à la période ; l’événement retenu est la mise à jour de l’avis, dont l’heure est fournie.
ImpactRisque d’exécution de code malveillant dans les environnements qui chargent le paquet ; la nature précise de l’impact n’est pas établie par les informations fournies.
Versions affectéesdotenv-preflight 1.0.0
ContournementNe pas installer ni charger ce paquet ; si déjà utilisé, examiner l’environnement et les secrets accessibles au processus.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T06:31:43Z
Mise à jour2026-10-01T06:31:28Z
Détection / vérification
Vérifier les dépendances npm et leurs scripts de cycle de vie ; rechercher dotenv-preflight@1.0.0.
Action recommandée
Retirer dotenv-preflight@1.0.0 des dépendances et examiner les installations ou exécutions déjà réalisées.
Sources
Priorisation DFS : P3 · 1 source(s).