L’avis signale le paquet npm xeprews, version 5.2.1, comme malveillant : son hook preinstall télécharge puis exécute du code JavaScript distant lors de l’installation. Cela peut entraîner l’exécution de code arbitraire sur la machine de l’installateur ; évitez cette version et supprimez-la des dépendances si elle est présente.
Source : GHSA-v76j-vqp4-68j8 — Malicious code in xeprews (npm)
Analyse technique
Le paquet imite les métadonnées d’Express et déclare un hook preinstall qui récupère un script distant sans épinglage de commit ni contrôle d’intégrité, puis l’exécute avec Node.js.
Impact, versions et correctif
Action recommandée
Éviter xeprews 5.2.1 ; si le paquet a été installé, le retirer et examiner les systèmes concernés pour détecter une exécution du hook ou ses effets.
Sources
Priorisation DFS : P3 · 1 source(s).