Code malveillant dans tiny-focusgroup-helper ciblant des environnements Wix

Veille sécuritéCMS & e-commerce

P3Critique

L’avis GHSA-vj2w-9332-v252 signale que tiny-focusgroup-helper 1.0.0 exécute des commandes de reconnaissance au chargement et transmet les résultats à un serveur externe. Ses exports imitent des registres internes Wix, ce qui expose les environnements qui résolvent et importent le paquet.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-vj2w-9332-v252 — Malicious code in tiny-focusgroup-helper (npm)

Analyse technique

Une fonction immédiate à l’import utilise child_process pour collecter des informations système et les transmet à un endpoint HTTP externe avec des métadonnées de l’environnement. Le paquet imite des noms de registres internes associés à Wix.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-05 à 00:30:38Z, soit 2026-10-05T02:30:38+02:00, dans la période retenue.

ImpactCollecte et exfiltration de données de l’hôte lors de l’import; risque pour les environnements Wix dont le résolveur charge ce paquet.

Versions affectéestiny-focusgroup-helper 1.0.0

ContournementNe pas installer ni charger le paquet ; le supprimer des dépendances.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-05T02:30:38+02:00

Mise à jour2026-10-05T02:30:46+02:00

Détection / vérification

Rechercher le paquet dans les dépendances et les journaux ; examiner les communications vers dxpoc.gt.tc.

Action recommandée

Éviter d’installer ou d’importer la version 1.0.0; vérifier les dépendances et les environnements de build concernés.

Sources

GHSA-vj2w-9332-v252 — Malicious code in tiny-focusgroup-helper (npm)

Priorisation DFS : P3 · 1 source(s).