CVE-2026-48158 in use-context-selector
Résumé
par VulDB • 10/08/2026
use-context-selector est un hook React useContextSelector dans l'espace utilisateur (userland). Entre le 2026-05-18 à 15:57:18 et le 2026-05-19 à 15:24:34, la branche par défaut contenait des commits malveillants allant de 9d8481a513b7b0d1c0941b220c69b25de748641b à 6f2dae054ca014068bdbbb4db96006424d674124 qui exécutaient du code contrôlé par un attaquant distant sur les machines des développeurs lors de l'exécution de `npm install`. Les commits ont été supprimés par force-push, mais les clones locaux, les forks et les URL directes basées sur le SHA peuvent toujours les contenir, et l'exécution de `npm install` contre une copie affectée exécutera toujours ce code aujourd'hui. Le package n'a pas été publié sur npm. Un fichier `src/install.js` a été ajouté et intégré au script `postinstall`. Il récupérait un payload JavaScript depuis un point de terminaison HTTPS contrôlé par l'attaquant (configurable via une variable d'environnement), désactivait la vérification TLS, et évaluait la réponse en tant que code avec `require` disponible. L'exécution a été délibérément ignorée sur les environnements CI et cloud/serverless, ciblant spécifiquement les stations de travail des développeurs. Le payload de deuxième étape était hébergé par l'attaquant et ne peut pas être reconstitué. Supposons une compromission totale de tout ce qui est accessible depuis un processus Node avec les permissions de l'utilisateur. Les personnes ayant exécuté `npm install` contre une copie affectée sur une machine de développeur le 2026-05-18 à 15:57:18 ou après doivent considérer la machine comme compromise, faire tourner (révoquer/changer) chaque identifiant que la machine pouvait atteindre, auditer l'activité des comptes** depuis le 2026-05-18 à 15:57:18, et nettoyer les clones locaux.
VulDB is the best source for vulnerability data and more expert information about this specific topic.