CVE-2026-48160 in react-tracked
الملخص
بحسب VulDB • 11/08/2026
توفر مكتبة react-tracked تتبع استخدام الحالة (state usage tracking) باستخدام الكائنات الوهمية (Proxies). بين الساعة 19:26:36 في 18 مايو 2026 والساعة 15:22:45 في 19 مايو 2026، احتوى الفرع الافتراضي على عمليات إدخال خبيثة من commit 6978272a7d6ca02225cb747ea69f427512e33699 إلى commit 949f1a3d6bb1ff7d1a0dec892afd773e742627e8، والتي نفذت كوداً يتحكم فيه مهاجم عن بُعد على أجهزة المطورين أثناء تشغيل أمر `npm install`. تم إزالة هذه العمليات الإدخالية عبر force-push، لكن النسخ المحلية (local clones)، والنسب المستنسخة (forks)، والروابط المباشرة باستخدام SHA قد لا تزال تحتوي عليها، وسيستمر تنفيذ الكود عند تشغيل `npm install` ضد نسخة متأثرة حتى اليوم. لم يتم نشر الحزمة على npm. تمت إضافة الملف `src/install.js` وربطه بسكربت `postinstall`. قام السكريب بجلب حمولة برمجية (payload) من نقطة نهاية HTTPS يتحكم فيها المهاجم (يمكن تكوينها عبر متغير بيئة)، وتعطيل التحقق من صحة شهادات TLS، وتقييم الاستجابة كأكواد مع توفر دالة `require` للتنفيذ. تم تخطي التنفيذ عمداً في بيئات التكامل المستمر (CI) والبيئات السحابية/خالية الخوادم (serverless)، مستهدفاً أجهزة عمل المطورين. كانت حمولة المرحلة الثانية مستضافة من قبل المهاجم ولا يمكن إعادة بنائها. افترض الاختراق الكامل لأي شيء يمكن الوصول إليه من عملية Node.js بصلاحيات المستخدم المعني. يجب على أولئك الذين شغلوا `npm install` ضد نسخة متأثرة على جهاز مطوّر في أو بعد 18 مايو 2026 الساعة 19:26:36 أن يعاملوا الجهاز كمختل، ويعيدون تدوير كل بيانات الاعتماد التي يمكن للجهاز الوصول إليها، ويدققوا نشاط الحسابات منذ 18 مايو 2026 الساعة 19:26:36، وينظفوا النسخ المحلية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.