CVE-2026-46412 in beproduct-org-nestjs-auth
Zusammenfassung
von VulDB • 20.07.2026
@beproduct/nestjs-auth ist ein Authentifizierungsmodul für NestJS, das als Teil von BeProduct IDS (Identity Server) entwickelt wurde und OpenID Connect unterstützt. Im Zeitraum vom 11. Mai 2026, 20:19 Uhr UTC bis 22:56 Uhr UTC nutzte ein Angreifer einen kompromittierten npm-Publish-Token, um 18 bösartige Versionen von `@beproduct/nestjs-auth` (von 0.1.2 bis 0.1.19) zu veröffentlichen. Das Postinstall-Skript versuchte, npm-Tokens (aus `~/.npmrc`) sowie GitHub-Personal-Access-Token und OAuth-Token (`gho_*`) und Actions-OIDC-Token abzugreifen; AWS-Anmeldeinformationen (aus Umgebungsvariablen und `~/.aws/credentials`); HashiCorp-Vault-Token; und andere in den Umgebungsvariablen gespeicherte Geheimnisse. Die Version `0.1.20` ist eine saubere Neuveröffentlichung aus dem ursprünglichen Quellbaum von 0.1.1. Jeder, der irgendeine Version im Bereich `>=0.1.2 <=0.1.19` installiert hat, sollte das Paket entfernen und den npm-Cache bereinigen; die saubere Version installieren; alle Anmeldeinformationen in der Installationsumgebung rotieren lassen, einschließlich aller npm-Publish-Token, aller GitHub PATs und OAuth-Tokens, AWS-Zugriffsschlüssel, HashiCorp-Vault-Token sowie jedes anderen Geheimnisses, das zu diesem Zeitpunkt in Umgebungsvariablen oder Konfigurationsdateien vorhanden war; betroffene Hosts auf Indikatoren für Kompromittierung (IoCs) scannen und im Falle eines Fundes den Host als kompromittiert behandeln und neu installieren; sowie die Historie der Repository-Commits auf unerwartete Ergänzungen in `.claude/` oder `.vscode/` überprüfen. Der Wurm ist bekannt dafür, `setup.mjs` + Hook-Konfigurationen über automatisierte Agent-Laufzeiten an PR-Zweige zu committen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.