JavaScript
-
GHSA-5jvh-cf7p-qx9w : chai-testing exécute du code distant à l’import Node.js
P2 · Critique — Le paquet npm chai-testing 1.1.4, présenté comme une bibliothèque liée aux tests, démarre un processus Node.js détaché à l’import puis récupère et exécute du code distant.
-
GHSA-fqjq-jxmv-48qv : homestack-cheer dissimule un payload dans ses entrées ESM
P3 · Élevée — homestack-cheer se présente comme une bibliothèque JavaScript triviale, mais ses entrées ESM contiennent une charge obfusquée activée lors de la résolution par des bundlers tels que Webpack ou Rollup.