Veille sécuritéFrontend
P3Critique
Le paquet npm `react-nodejs` a été signalé comme malveillant : son installation exécute un script téléchargé depuis une source externe non vérifiée. Il usurpe l’identité de React, mais il ne s’agit pas d’une vulnérabilité du projet React lui-même.
JavaScriptReact
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GitHub Advisory — GHSA-wvw7-9m69-qw5x
Analyse technique
Le paquet déclare un hook npm preinstall qui télécharge et exécute du JavaScript distant non épinglé ni vérifié. Éviter d’installer ce paquet; si installé, le traiter comme potentiellement compromis et examiner l’environnement concerné.
Impact, versions et correctif
Événement datéL’avis indique une première publication le 2026-09-30, hors de la période demandée, puis une mise à jour le 2026-10-01T06:31:30Z, dans la période. Retenu comme mise à jour substantielle signalant l’usurpation de React et l’exécution de code à l’installation.
ImpactExécution de code distant lors de l’installation npm; risque pour les systèmes et données accessibles au processus d’installation.
Versions affectéesreact-nodejs 19.3.0
ContournementNe pas installer ce paquet ; en cas d’installation, examiner l’hôte et les secrets accessibles au processus npm.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T00:32:27Z
Mise à jour2026-10-01T06:31:30Z
Détection / vérification
Vérifier les dépendances npm et scripts preinstall ; rechercher react-nodejs@19.3.0.
Action recommandée
Ne pas installer `react-nodejs` 19.3.0; si le paquet a été installé, vérifier les systèmes et secrets accessibles à l’environnement d’installation.
Sources
Priorisation DFS : P3 · 1 source(s).