CVE-2026-48158 in use-context-selector
Resumen
por VulDB • 2026-08-10
use-context-selector es un hook de React useContextSelector en el espacio del usuario (userland). Entre las fechas 2026-05-18 15:57:18 y 2026-05-19 15:24:34, la rama principal contenía commits maliciosos desde 9d8481a513b7b0d1c0941b220c69b25de748641b hasta 6f2dae054ca014068bdbbb4db96006424d674124 que ejecutaban código controlado por un atacante remoto en las máquinas de los desarrolladores durante `npm install`. Los commits fueron eliminados mediante force-push, pero los clones locales, bifurcaciones (forks) y URLs con SHA directo pueden aún contenerlos, y ejecutar `npm install` contra una copia afectada seguirá ejecutando el código hoy. El paquete no fue publicado en npm. Se añadió `src/install.js` y se vinculó al script `postinstall`. Este obtenía un payload de JavaScript desde un punto final HTTPS controlado por el atacante (configurable mediante una variable de entorno), deshabilitaba la verificación TLS y evaluaba la respuesta como código con `require` disponible. La ejecución fue omitida deliberadamente en entornos CI y cloud/serverless, dirigiéndose a estaciones de trabajo de desarrolladores. El payload de segunda etapa estaba alojado por el atacante y no puede ser reconstruido. Asumir una compromiso total de cualquier recurso accesible desde un proceso Node con los permisos del usuario. Aquellos que ejecutaron `npm install` contra una copia afectada en una máquina de desarrollo a partir del 2026-05-18 15:57:18 deben tratar la máquina como comprometida, rotar todas las credenciales accesibles desde ella, auditar la actividad de cuentas** desde el 2026-05-18 15:57:18 y limpiar los clones locales.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.