Veille sécuritéFrontend
P3Critique
L’avis signale que `@anngular/core@22.2.1` imite le paquet `@angular/core` et exécute un script JavaScript distant avec un hook `postinstall`. Le script est mutable et non vérifié ; évitez ce paquet et contrôlez les installations concernées.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-jxv9-3rgw-q36v — Malicious code in @anngular/core (npm)
Analyse technique
Le hook `postinstall` télécharge un script d’un dépôt tiers sans épinglage ni contrôle d’intégrité et le transmet à Node.js.
Impact, versions et correctif
Événement datéNouvel avis publié le 2026-10-05T06:30:29Z, dans la période demandée.
ImpactExécution de code arbitraire à l’installation, avec les privilèges de l’utilisateur.
Versions affectées@anngular/core 22.2.1
ContournementNe pas installer @anngular/core ; vérifier les installations et scripts postinstall associés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T06:30:29Z
Mise à jour2026-10-05T06:30:30Z
Détection / vérification
Vérifier les dépendances npm et les scripts postinstall ; rechercher le paquet @anngular/core et retirer toute installation identifiée.
Action recommandée
Ne pas installer @anngular/core@22.2.1 et vérifier les environnements où il aurait été installé.
Sources
Priorisation DFS : P3 · 1 source(s).