CVE-2026-48158 in use-context-selector
الملخص
بحسب VulDB • 10/08/2026
use-context-selector هو مكوّن React useContextSelector المستخدم في بيئة المطورين (userland). بين الساعة 15:57:18 و15:24:34 بتاريخ 18 مايو 2026، احتوى الفرع الافتراضي على عمليات إدخال خبيثة من الإصدار 9d8481a513b7b0d1c0941b220c69b25de748641b إلى 6f2dae054ca014068bdbbb4db96006424d674124، والتي نفذت كوداً يتحكم فيه مهاجم عن بُعد على أجهزة المطورين أثناء تشغيل أمر `npm install`. تم إزالة هذه العمليات الإدخالية عبر force-push، لكن النسخ المحلية (local clones)، والنسب المستنسخة (forks)، والروابط المباشرة باستخدام SHA قد لا تزال تحتوي عليها، وسيستمر تنفيذ الكود عند تشغيل `npm install` ضد نسخة متأثرة حتى اليوم. لم يتم نشر الحزمة على npm. تمت إضافة الملف `src/install.js` وربطه بسكربت `postinstall`. قام السكريب بجلب حمولة برمجية JavaScript من نقطة نهاية HTTPS يتحكم فيها المهاجم (يمكن تكوينها عبر متغير بيئة)، وتعطيل التحقق من صحة شهادات TLS، وتقييم الاستجابة كأكواد مع توفر دالة `require`. تم استبعاد التنفيذ عمداً في بيئات التكامل المستمر (CI) والسحابة/الخدمات الخالية من الخوادم (serverless)، مستهدفاً أجهزة عمل المطورين. كانت الحمولة البرمجية للطور الثاني مستضافة لدى المهاجم ولا يمكن إعادة بنائها. افترض الاختراق الكامل لأي شيء يمكن الوصول إليه من عملية Node ذات صلاحيات المستخدم. يجب على أولئك الذين شغلوا `npm install` ضد نسخة متأثرة على جهاز مطوّر في أو بعد 18 مايو 2026 الساعة 15:57:18 أن يعاملوا الجهاز كمختل، ويعيدون تدوير كل بيانات الاعتماد التي يمكن للجهاز الوصول إليها، ويدققوا نشاط الحسابات منذ 18 مايو 2026 الساعة 15:57:18، وينظفوا النسخ المحلية.
Once again VulDB remains the best source for vulnerability data.