L’avis signale un paquet npm malveillant présenté comme un plugin Tailwind CSS : la version 1.0.1 requiert une dépendance privée dont le contenu malveillant n’a pas été récupéré. Le code de cette dépendance pourrait s’exécuter au chargement du plugin par tailwind.config.js ; aucun correctif n’est indiqué.
Source : GHSA-jqm8-4v5f-g79x — Malicious code in tailwindcss-motionanimate (npm)
Analyse technique
Le paquet requiert @jasperquinn/postcss-motion-helpers ; l’avis précise que le tarball publié ne contient ni script d’installation ni code réseau et que la charge utile de la dépendance privée n’a pas été récupérée.
Impact, versions et correctif
Détection / vérification
Vérifier si le projet dépend de tailwindcss-motionanimate et retirer la version concernée.
Action recommandée
Éviter la version concernée et supprimer le paquet s’il est présent ; examiner les dépôts et jetons npm accessibles à l’environnement de développement.
Sources
Priorisation DFS : P3 · 1 source(s).