Code malveillant dans react-native-bright-sdk

Veille sécuritéFrontend

P4Non déterminée

Le 25 octobre 2026, un avis GHSA a signalé du code malveillant dans react-native-bright-sdk 9000.0.0 : son hook preinstall envoie automatiquement le nom d’hôte et l’horodatage d’installation à un endpoint externe. Évitez cette version; si elle a été installée, supprimez-la et examinez les systèmes concernés.

IdentifiantAvis de sécurité

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-fjcx-639f-h39g — Malicious code in react-native-bright-sdk

Analyse technique

Le hook preinstall lance canary.js, qui transmet le nom d’hôte et l’heure d’installation encodés en base64 via HTTPS. Aucun correctif n’est indiqué dans les éléments consultés.

Impact, versions et correctif

Événement datéPublication de l’avis GHSA le 25 octobre 2026 à 15:31:37Z, soit le 25 octobre à 17:31:37 +02:00, dans la période demandée. La mise à jour ultérieure du 26 octobre n’est pas retenue comme événement de la période.

ImpactTransmission non sollicitée du nom d’hôte et de l’heure d’installation vers un endpoint externe.

Versions affectéesreact-native-bright-sdk (npm) 9000.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-25T15:31:37Z

Détection / vérification

Le paquet npm react-native-bright-sdk, version 9000.0.0, exécute un script de préinstallation qui transmet automatiquement le nom d’hôte et l’heure d’installation à un endpoint ngrok.

Action recommandée

Ne pas installer la version 9000.0.0; si elle est présente, la supprimer et vérifier les systèmes où elle a été installée.

Sources

GHSA-fjcx-639f-h39g — Malicious code in react-native-bright-sdk

Priorisation DFS : P4 · 1 source(s).