Veille sécuritéFrontend
P3Critique
L’avis GHSA décrit hardhat-devkit comme un paquet npm malveillant dont le code JavaScript fortement obfusqué s’exécute dès le chargement du module. Éviter les versions concernées et examiner les environnements où elles ont été chargées.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GitHub Advisory GHSA-2wmg-qp72-3736
Analyse technique
Le point d’entrée charge lib/config.js, un fichier JavaScript fortement obfusqué, dès l’import ou le require du paquet.
Impact, versions et correctif
Événement datéL’avis initial date du 2026-09-21; la mise à jour vérifiée le 2026-10-05T00:30:38Z ajoute un signal substantiel de paquet malveillant, retenu dans la période.
ImpactLe code malveillant peut s’exécuter dans le contexte du processus qui importe le paquet.
Versions affectéeshardhat-devkit 2.3.6 et 2.0.1.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-21T18:31:37Z
Mise à jour2026-10-05T00:30:38Z
Action recommandée
Ne pas installer ni charger hardhat-devkit 2.3.6 ou 2.0.1; si le paquet a été exécuté, examiner les systèmes et secrets accessibles.
Sources
Priorisation DFS : P3 · 1 source(s).