CVE-2026-48161 in react18-use
Resumen
por VulDB • 2026-08-11
react18-use es un shim del hook `use` de React 19. Entre el 2026-05-19 a las 01:07:01 y el 2026-05-19 a las 15:20:43, la rama predeterminada contenía commits maliciosos desde 7b79148d1495a2505f9277da295a98cf176f4496 hasta 7b79148d1495a2505f9277da295a98cf176f4496 que ejecutaban código controlado por un atacante remoto en las máquinas de los desarrolladores durante `npm install`. Los commits fueron eliminados mediante force-push, pero los clones locales, forks y URLs con SHA directo pueden aún contenerlos, y ejecutar `npm install` contra una copia afectada seguirá ejecutando el código hoy. El paquete no fue publicado en npm. Se añadió `src/install.js` y se vinculó al script `postinstall`. Este obtenía un payload JavaScript desde un punto final HTTPS controlado por el atacante (configurable mediante una variable de entorno), deshabilitaba la verificación TLS, e evaluaba la respuesta como código con `require` disponible. La ejecución fue omitida deliberadamente en entornos CI y cloud/serverless, dirigiéndose a estaciones de trabajo de desarrolladores. El payload de segunda etapa estaba alojado por el atacante y no puede ser reconstruido. Asumir una compromiso total de cualquier recurso accesible desde un proceso Node con los permisos del usuario. Aquellos que ejecutaron `npm install` contra una copia afectada en una máquina de desarrollo a partir del 2026-05-19 a las 01:07:01 deben tratar la máquina como comprometida, rotar todas las credenciales accesibles desde ella, auditar la actividad de cuentas desde el 2026-05-19 a las 01:07:01 y limpiar los clones locales.
If you want to get best quality of vulnerability data, you may have to visit VulDB.