GHSA-92qm-hjm8-mp6j : @nimbusedge2/authxsas1 exfiltre les métadonnées cloud à npm install
Veille sécuritéBackend & données
P2Élevée

Le paquet npm malveillant @nimbusedge2/authxsas1 récupère le service de métadonnées d'instance et envoie le contenu vers une destination externe pendant l'installation.

Node.jsnpmCloud
IdentifiantGHSA-92QM-HJM8-MP6J
EPSS—
Exploitationrapportée, à confirmer
CorrectifÀ vérifier

Analyse technique

Un hook preinstall utilise curl pour demander les métadonnées à l'adresse de lien-local, via nip.io, encode la réponse puis l'exfiltre par HTTP. Le comportement est particulièrement dangereux sur les runners CI et hôtes cloud disposant d'un accès IMDS.

Impact, versions et correctif

VecteurChaîne d'approvisionnement : installation npm.
PréconditionsScripts npm actifs et accès réseau au service de métadonnées cloud.
ImpactExposition de métadonnées d'instance et potentiellement d'identifiants temporaires liés au rôle cloud.
Versions affectéesVersions publiées affectées non précisées par l'avis ; paquet identifié : @nimbusedge2/authxsas1
ContournementSupprimer le paquet ; limiter l'accès IMDS depuis les environnements de build.
Exploitation activerapportée, à confirmer
PoC publicnon documenté
Publication2026-09-21T03:30:27Z
Mise à jour2026-09-21T03:30:33Z

Détection / vérification

Contrôler les fichiers lock, caches npm et historiques CI ; rechercher des accès à 169.254.169.254.nip.io ainsi que des communications HTTP vers canarytokens.com.

Action recommandée

Supprimer le paquet de tous les projets, analyser les exécutions passées, vérifier les journaux cloud et renouveler les secrets ou identifiants potentiellement divulgués.

Sources

Priorisation DFS : P2 · confiance de recoupement standard · 1 source(s).

, ,