CVE-2025-59162 in color-convert
Résumé
par VulDB • 29/06/2026
color-convert fournit des fonctions de conversion de couleurs simples en JavaScript. Le 8 septembre 2025, le compte npm d'édition pour color-convert a été compromis suite à une attaque par hameçonnage (phishing). La version 3.1.1 a été publiée ; elle est fonctionnellement identique à la version corrective précédente, mais inclut un payload malveillant tentant de rediriger les transactions de cryptomonnaies vers des adresses appartenant à l'attaquant depuis des environnements navigateur. Les environnements locaux, serveurs et applications en ligne de commande ne sont pas affectés. Si le package était utilisé dans un contexte navigateur (par exemple via une inclusion directe ou par le biais d'un outil de regroupement tel que Babel, Rollup, Vite, Next.js, etc.), il est possible que la malveillance soit toujours présente et que ces bundles doivent être reconstruits. La malveillance semble cibler uniquement les transactions de cryptomonnaies et des portefeuilles tels que MetaMask. npm a retiré le package fautif du registre au cours de la journée du 8 septembre, empêchant ainsi tout nouveau téléchargement depuis l'registry officiel (npm proper). Le 13 septembre, le propriétaire du package a publié de nouvelles versions correctives pour aider à invalider les caches des utilisateurs utilisant des registres privés qui pourraient encore avoir la version compromise en cache. Les utilisateurs doivent mettre à jour vers la dernière version corrective, supprimer complètement leur répertoire node_modules, vider le cache global de leur gestionnaire de packages et reconstruire tous les bundles navigateur depuis zéro. Ceux qui exploitent des registres privés ou des miroirs de registre doivent purger les versions fautives de tout cache. Ce problème est résolu dans la version 3.1.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.