Veille sécuritéFrontend
P3Critique
Le paquet npm `@anguar/core` version 22.2.1 usurpe l’identité de `@angular/core` et lance un script `postinstall` qui télécharge puis exécute du JavaScript distant non vérifié. N’installez pas ce paquet; s’il a été installé, supprimez-le et examinez les systèmes concernés.
AngularJavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-pjc3-f292-727c — Malicious code in @anguar/core (npm)
Analyse technique
Le script postinstall exécute du code récupéré depuis une source tierce non liée au projet Angular, sans épinglage ni vérification d’intégrité.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-05 à 06:30:29Z (08:30:29+02:00), dans la période demandée.
ImpactExécution de code JavaScript distant avec les privilèges de la personne qui installe le paquet.
Versions affectées= 22.2.1
ContournementNe pas installer le paquet; le supprimer s’il est présent et examiner les systèmes où il a été installé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-05T08:30:29+02:00
Mise à jour2026-10-05T08:30:31+02:00
Détection / vérification
Vérifier les dépendances npm et scripts postinstall ; rechercher @anguar/core.
Action recommandée
Éviter l’installation; supprimer le paquet s’il est déjà installé et contrôler les systèmes concernés.
Sources
Priorisation DFS : P3 · 1 source(s).