Veille sécuritéBackend & données
P3Critique
L’avis décrit hardhat-lock@2.21.0 comme un paquet npm malveillant dont le code obfusqué s’exécute dès son chargement. Ne pas installer cette version; si elle a été chargée, considérer le processus et son environnement comme potentiellement compromis.
Node.js
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Analyse technique
L’entrée du paquet charge lib/config.js, un fichier fortement obfusqué dont le code s’exécute au chargement et peut accéder aux ressources du processus Node.js.
Impact, versions et correctif
Événement datéLa source fournie indique une publication à 2026-09-29T00:31:24Z, soit 2026-09-29T02:31:24+02:00, dans l’intervalle.
ImpactExécution de code malveillant dans le processus Node.js consommateur, avec accès aux ressources disponibles pour ce processus.
Versions affectéeshardhat-lock 2.21.0.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-29T02:31:24+02:00
Mise à jour2026-09-29T02:31:31+02:00
Détection / vérification
Éviter l’installation de ce paquet et rechercher hardhat-lock@2.21.0 dans les dépendances et environnements de build.
Action recommandée
Ne pas installer hardhat-lock@2.21.0; si le paquet a été chargé, isoler et examiner l’environnement, puis renouveler les secrets potentiellement exposés.
Sources
Priorisation DFS : P3 · 1 source(s).