Veille sécuritéSupply chain & dépendances
P3Élevée
eslint-config-compact-utils collecte des informations d’hôte et des variables de contexte CI ou GitHub dès son import, puis les transmet à un endpoint AWS API Gateway codé en dur.
npmNode.jsESLintCI/CDGitHub Actions
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifAucune version corrigée.
Source : GitHub Advisory Database — GHSA-qh87-q3mj-33jx
Analyse technique
Au require, le module collecte notamment hostname, utilisateur, plateforme, architecture, version Node.js, répertoire courant et des variables telles que CI, RUNNER_NAME et GITHUB_REPOSITORY. Ces données sont placées dans les paramètres d’une requête HTTPS vers un endpoint externe, sans rapport avec la configuration ESLint annoncée.
Impact, versions et correctif
VecteurImportation de la configuration ou exécution d’un outillage ESLint qui charge le paquet.
PréconditionsLe paquet doit être chargé dans un processus Node.js ; les données CI sont disponibles lorsqu’il est exécuté dans un runner.
ImpactDivulgation de métadonnées d’hôtes, de dépôts et de runners pouvant faciliter le ciblage ultérieur de l’environnement de développement ou CI.
Versions affectéesVersions affectées : non précisées dans l’advisory.
Version corrigéeAucune version corrigée.
ContournementSupprimer eslint-config-compact-utils des configurations ESLint et bloquer l’endpoint de collecte documenté si des installations ont eu lieu.
Exploitation activenon connue / non déterminée
PoC publicnon documenté
Publication2026-09-23T00:31:21Z
Mise à jour2026-09-23T06:31:31Z
Détection / vérification
Rechercher le paquet dans package.json et lockfiles. Examiner les logs proxy pour les requêtes vers cbrsuo9293.execute-api.us-east-1.amazonaws.com et contrôler les exécutions ESLint sur les runners concernés.
Action recommandée
Retirer la dépendance, analyser les journaux réseau et revoir les informations exposées par les variables d’environnement des runners CI.
Sources
Priorisation DFS : P3 · 1 source(s).