Code malveillant dans tiny-css-token-parser ciblant des environnements Wix

Veille sécuritéCMS & e-commerce

P3Critique

L’avis GHSA-gc5p-h89m-743g signale que tiny-css-token-parser 1.0.0 lance une reconnaissance de l’hôte et exfiltre des données lors du chargement. Le paquet usurpe des noms de registres internes Wix, ce qui indique un ciblage des environnements de build susceptibles de le résoudre.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-gc5p-h89m-743g — Malicious code in tiny-css-token-parser (npm)

Analyse technique

Une fonction exécutée à l’import collecte des informations système au moyen de child_process et les transmet à des collecteurs externes. Le manifeste et les exports imitent plusieurs registres internes Wix.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-05 à 00:30:38Z, soit 2026-10-05T02:30:38+02:00, dans la période retenue.

ImpactCollecte et exfiltration de données de l’hôte lors de l’import; risque pour les environnements Wix dont le résolveur charge ce paquet.

Versions affectéestiny-css-token-parser 1.0.0

ContournementNe pas installer ni charger le paquet ; le supprimer des dépendances.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-05T02:30:38+02:00

Mise à jour2026-10-05T02:30:46+02:00

Détection / vérification

Rechercher le paquet dans les dépendances et les journaux ; examiner les communications vers les domaines et services collecteurs cités dans l’avis.

Action recommandée

Éviter d’installer ou d’importer la version 1.0.0; vérifier les dépendances et les environnements de build concernés.

Sources

GHSA-gc5p-h89m-743g — Malicious code in tiny-css-token-parser (npm)

Priorisation DFS : P3 · 1 source(s).