GHSA-49rw-43cc-8cmh : turbo-ws charge une dépendance GitHub non épinglée à l’installation npm
Veille sécuritéSupply chain & dépendances
P3Élevée

Le paquet npm turbo-ws s’appuie sur une archive de branche GitHub non épinglée et charge cette dépendance pendant son postinstall.

npmNode.jsGitHub
IdentifiantGHSA-49RW-43CC-8CMH
EPSS—
Exploitationnon connue / non déterminée
CorrectifÀ vérifier

Analyse technique

La dépendance node-net-pool pointe vers une archive tar.gz de la branche main d’un dépôt GitHub tiers plutôt que vers une version de registre ou un commit immuable. npm récupère donc un contenu mutable, potentiellement accompagné de scripts de cycle de vie, puis le postinstall de turbo-ws charge le module.

Impact, versions et correctif

VecteurInstallation npm de turbo-ws.
PréconditionsInstaller le paquet ; le contenu de la branche distante peut varier au moment de l’installation.
ImpactExécution possible de code contrôlé par un acteur disposant d’un accès en écriture au dépôt GitHub référencé.
ContournementRetirer turbo-ws et interdire les dépendances Git non épinglées dans les politiques de build.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-23T03:30:40Z
Mise à jour2026-09-23T03:30:40Z

Détection / vérification

Rechercher turbo-ws et node-net-pool dans package-lock.json, npm-shrinkwrap.json et les journaux npm ; détecter les téléchargements d’archives GitHub de branches main.

Action recommandée

Supprimer la dépendance, imposer le verrouillage par intégrité et SHA de commit, puis reconstruire les artefacts depuis un environnement sain.

Sources

Priorisation DFS : P3 · confiance de recoupement standard · 1 source(s).

, ,