L’avis GHSA-hxjv-cpxc-564m concerne le paquet npm malveillant `tailwindcss-form-ui`, qui usurpe l’identité d’un module Tailwind et peut exécuter des commandes sur la machine qui le charge. La mise à jour de l’avis pendant la période étend les versions signalées à 0.5.8, en plus de 0.5.1; retirez ces versions et vérifiez les environnements où elles ont été installées ou chargées.
Source : GHSA-hxjv-cpxc-564m — Malicious code in tailwindcss-form-ui (npm)
Analyse technique
Le paquet est décrit comme un typosquat contenant du code obfusqué et un mécanisme de récupération de charges utiles depuis des transactions Ethereum, ensuite exécutées via un processus enfant. L’avis OpenSSF correspondant est indiqué comme mis à jour dans une PR ouverte le 10 novembre 2026, qui mentionne l’ajout de la version 0.5.8.
Impact, versions et correctif
Action recommandée
Ne pas utiliser les versions 0.5.1 et 0.5.8; supprimer le paquet et examiner les systèmes où il a été installé ou chargé.
Sources
Priorisation DFS : P3 · 1 source(s).