Veille sécuritéFrontend
P2Critique
L’avis signale du code malveillant dans le paquet npm mock-data-sdk, version 1.0.1. L’appel à getTransactions() décode un JavaScript dissimulé dans des fichiers de données et l’exécute, déclenchant notamment une recherche de fichiers associés à des identifiants et secrets.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Analyse technique
Le code concatène des champs mark dans des fichiers de données, les décode en base64 puis les exécute avec Function. Le comportement décrit inclut le parcours du système de fichiers à la recherche de noms évoquant des mots de passe, portefeuilles, clés privées et fichiers .env.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-11-11 à 21:31:13Z, soit le 2026-11-11 à 23:31:13+02:00, dans la période demandée.
ImpactL’appel à l’API du paquet peut exécuter du code et rechercher des fichiers sensibles sur l’hôte.
Versions affectéesmock-data-sdk 1.0.1
Exploitation activerapportée, à confirmer
PoC publicinconnu
Publication2026-11-11T23:31:13+02:00
Mise à jour2026-11-11T23:31:13+02:00
Action recommandée
Éviter d’installer ou d’exécuter cette version ; retirer le paquet des dépendances et examiner les systèmes où il a été chargé.
Sources
Priorisation DFS : P2 · 1 source(s).