CVE-2026-48160 in react-tracked
Zusammenfassung
von VulDB • 10.08.2026
react-tracked bietet State-Nutzungs-Tracking mit Proxies. Zwischen dem 18. Mai 2026 um 19:26:36 und dem 19. Mai 2026 um 15:22:45 enthielt der Standardzweig böswillige Commits von 6978272a7d6ca02225cb747ea69f427512e33699 bis hin zu 949f1a3d6bb1ff7d1a0dec892afd773e742627e8, die während der Ausführung von `npm install` auf Entwicklerrechnern vom Angreifer gesteuerten Code ausführten. Die Commits wurden durch Force-Push entfernt, jedoch können lokale Klone, Forks und direkte SHA-URLs diese weiterhin enthalten, und ein `npm install` gegen einen betroffenen Checkout führt den Code auch heute noch aus. Das Paket wurde nicht an npm veröffentlicht. `src/install.js` wurde hinzugefügt und in das Skript `postinstall` eingebunden. Es lud eine JavaScript-Payload von einem vom Angreifer kontrollierten HTTPS-Endpunkt herunter (konfigurierbar über eine Umgebungsvariable), deaktiverte die TLS-Verifizierung und wertete die Antwort als Code aus, wobei `require` verfügbar war. Die Ausführung wurde absichtlich in CI-Umgebungen sowie Cloud-/Serverless-Umgebungen übersprungen; im Fokus standen Entwickler-Arbeitsplätze. Die Payload der zweiten Stufe wurde vom Angreifer gehostet und kann nicht rekonstruiert werden. Gehen Sie von einer vollständigen Kompromittierung aller Ressourcen aus, die von einem Node-Prozess mit den Berechtigungen des Benutzers erreichbar sind. Personen, die `npm install` gegen einen betroffenen Checkout auf einem Entwickler-Rechner am oder nach dem 18. Mai 2026 um 19:26:36 ausgeführt haben, sollten diesen Rechner als kompromittiert betrachten, alle Zugangsdaten, die der Rechner erreichen konnte, rotieren (erneuern), die Kontotätigkeit** seit dem 18. Mai 2026 um 19:26:36 überprüfen und lokale Klone bereinigen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.