Veille sécuritéFrontend
P3Critique
L’avis signale que le paquet npm `exprdd`, qui imite Express, exécute du JavaScript distant lors de son installation. Le script est récupéré depuis une branche mutable sans vérification d’intégrité et peut exécuter du code avec les privilèges de l’installateur.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-w7pc-jg8g-2xr4 — Malicious code in exprdd (npm)
Analyse technique
Un hook `preinstall` télécharge un script depuis un dépôt tiers et le transmet directement à Node.js.
Impact, versions et correctif
Événement datéAvis initial publié le 2026-09-29T15:31:01Z, hors période; sa mise à jour datée du 2026-10-06T00:34:11Z, soit le 2026-10-06T02:34:11+02:00, est retenue comme avis de sécurité dans la période.
ImpactExécution de code arbitraire sur la machine lors de l’installation du paquet.
Versions affectées= 5.2.1, = 5.2.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-06T02:34:11+02:00
Mise à jour2026-10-06T02:34:11+02:00
Action recommandée
Éviter d’installer `exprdd`; vérifier les dépendances npm et retirer le paquet s’il est présent.
Sources
Priorisation DFS : P3 · 1 source(s).