Veille sécuritéFrontend
P3Critique
L’avis signale que `@angjlar/core@22.2.1` usurpe l’identité de `@angular/core` et lance un script JavaScript distant pendant l’installation npm. Le code distant est mutable et non vérifié ; évitez ce paquet et vérifiez les installations existantes.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-m2v2-6rv3-7f7v — Malicious code in @angjlar/core (npm)
Analyse technique
Un hook `postinstall` télécharge un script JavaScript depuis un dépôt tiers et le transmet à Node.js sans épinglage ni contrôle d’intégrité.
Impact, versions et correctif
Événement datéNouvel avis publié le 2026-10-05T06:30:29Z, dans la période demandée.
ImpactExécution de code arbitraire à l’installation, avec les privilèges de l’utilisateur.
Versions affectées@angjlar/core 22.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T06:30:29Z
Mise à jour2026-10-05T06:30:30Z
Action recommandée
Ne pas installer @angjlar/core@22.2.1 et vérifier les environnements où il aurait été installé.
Sources
Priorisation DFS : P3 · 1 source(s).