Le journal DFS
Node.js
-
MCP : traversée de répertoires dans 03-lovepreetSingh MCP create_file (CVE-2026-94044)
P3 · Moyenne · CVE-2026-94044 — La fonction create_file de app/api/mcp/route.ts dans 03-lovepreetSingh MCP accepte des paramètres filePath/content manipulables permettant une traversée de répertoires à distance.…
-
GHSA-6rc9-cghh-frwr : sorrawit-dev-helper exfiltre un fichier local via postinstall npm
P3 · Élevée — Le paquet npm sorrawit-dev-helper 1.0.0 possède un hook postinstall qui lit un fichier local puis transmet son contenu vers un tunnel ngrok…
-
GHSA-5×48-2mvx-rc23 : @siriusbeyond/auth exfiltre les signaux d’hôte et de secrets npm
P3 · Élevée — @siriusbeyond/auth@99.0.0 est identifié comme paquet npm malveillant de type dependency confusion. Il collecte des informations sur l’hôte d’installation et les noms de…
-
GHSA-hc49-rwm2-p2w7 : testmgkregme exécute du JavaScript opaque pendant npm install
P3 · Élevée — Le paquet npm testmgkregme 1.0.1 abuse de binding.gyp pour exécuter du JavaScript obfusqué lors de l’installation via node-gyp.
-
Paquet npm catwrestlinghuman : charge postinstall fortement obfusquée
P3 · Élevée — catwrestlinghuman@1.0.0 est un paquet npm malveillant dont le hook postinstall exécute une charge opaque encodée en JSFuck. Le paquet ne fournit pas…
-
Paquet npm @nimbusedge2/authxsas : fuite de métadonnées d’instances cloud au preinstall
P3 · Élevée — @nimbusedge2/authxsas@1.1.0 utilise un hook preinstall pour interroger un service de métadonnées d’instance via 169.254.169.254.nip.io et transmettre la réponse à une destination distante.…
-
Deux paquets npm malveillants ciblent les secrets et identités cloud à l’installation
P3 · Élevée — Les paquets npm @siriusbeyond/auth@99.0.0 et @dbbhk/ui-components@99.0.0 ont été référencés comme malveillants. Le premier collecte des informations d’hôte et des noms de variables…
-
GHSA-446r-4pr8-w423 : @siriusbeyond/utils exfiltre la reconnaissance d’hôte pendant npm install
P3 · Élevée — Le paquet npm @siriusbeyond/utils@99.0.0 emploie des hooks preinstall et postinstall pour collecter des informations d’hôte et des noms de variables liés à…
-
GHSA-4pq9-9r53-4chh : siriusbeyond collecte des indices de secrets via hooks npm
P3 · Élevée — Le paquet npm siriusbeyond exécute un script en preinstall et postinstall afin de collecter des informations d’hôte, d’environnement CI/cloud et des indices…
-
GHSA-26h7-cmv3-wgv6 : paquet npm malveillant @pwaplatform/module-sso-integration
P3 · Élevée — GitHub Advisory Database signale que les versions 99.0.0 et 99.0.1 du paquet npm @pwaplatform/module-sso-integration sont malveillantes. Le paquet, nommé comme un module…