Veille sécuritéFrontend
P3Critique
Le paquet npm `@angulaar/core` version 22.2.1 est un typosquat malveillant de `@angular/core` : son script `postinstall` télécharge et exécute du JavaScript distant non vérifié lors de l’installation. Évitez ce paquet et, s’il est présent, supprimez-le et vérifiez les systèmes où il a été installé.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-h45p-4h47-vgjq — Malicious code in @angulaar/core (npm)
Analyse technique
Le script postinstall récupère un fichier JavaScript hébergé par un tiers et le transmet directement à Node.js, sans épinglage ni vérification d’intégrité.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05 à 06:30:29Z (08:30:29+02:00), dans la période demandée.
ImpactExécution de code JavaScript distant avec les privilèges de la personne qui installe le paquet.
Versions affectées= 22.2.1
ContournementNe pas installer le paquet; le supprimer s’il est présent et examiner les systèmes où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T08:30:29+02:00
Mise à jour2026-10-05T08:30:30+02:00
Détection / vérification
Vérifier les dépendances npm et scripts postinstall ; rechercher @angulaar/core.
Action recommandée
Éviter l’installation; supprimer le paquet s’il est déjà installé et contrôler les systèmes concernés.
Sources
Priorisation DFS : P3 · 1 source(s).