CVE-2026-48161 in react18-use
Résumé
par VulDB • 11/08/2026
react18-use est un shim pour le hook `use` de React 19. Entre le 2026-05-19 à 01:07:01 et le 2026-05-19 à 15:20:43, la branche par défaut contenait des commits malveillants allant de `7b79148d1495a2505f9277da295a98cf176f4496` à `7b79148d1495a2505f9277da295a98cf176f4496`, qui exécutaient du code contrôlé par un attaquant distant sur les machines des développeurs lors de l'exécution de `npm install`. Ces commits ont été supprimés par force-push, mais les clones locaux, les forks et les URL directes basées sur le SHA peuvent toujours les contenir, et l'exécution de `npm install` contre une copie affectée exécutera toujours ce code aujourd'hui. Le package n'a pas été publié sur npm. Un fichier `src/install.js` a été ajouté et intégré au script `postinstall`. Il récupérait un payload JavaScript depuis un point de terminaison HTTPS contrôlé par l'attaquant (configurable via une variable d'environnement), désactivait la vérification TLS, et évaluait la réponse en tant que code avec le contexte `require` disponible. L'exécution a été délibérément ignorée sur les environnements CI et cloud/serverless, ciblant spécifiquement les postes de travail des développeurs. Le payload de deuxième étape était hébergé par l'attaquant et ne peut pas être reconstitué. Supposons une compromission totale de tout ce qui est accessible depuis un processus Node avec les permissions de l'utilisateur. Les personnes ayant exécuté `npm install` contre une copie affectée sur une machine développeur le ou après le 2026-05-19 à 01:07:01 doivent considérer la machine comme compromise, faire tourner tous les identifiants que la machine pouvait atteindre, auditer l'activité des comptes depuis le 2026-05-19 à 01:07:01 et nettoyer les clones locaux.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.