CVE-2026-48160 in react-tracked
Riassunto
di VulDB • 11/08/2026
react-tracked fornisce il tracciamento dell'utilizzo dello stato tramite Proxy. Tra il 2018-05-18 19:26:36 e il 2019-05-19 15:22:45, il branch predefinito conteneva commit malevoli da 6978272a7d6ca02225cb747ea69f427512e33699 a 949f1a3d6bb1ff7d1a0dec892afd773e742627e8 che eseguivano codice controllato da un attaccante remoto sulle macchine degli sviluppatori durante `npm install`. I commit sono stati rimossi con force-push, ma i cloni locali, i fork e gli URL SHA diretti potrebbero ancora contenerli, ed eseguire `npm install` su un checkout interessato eseguirà comunque il codice oggi. Il pacchetto non è stato pubblicato su npm. È stato aggiunto `src/install.js` e collegato allo script `postinstall`. Questo scaricava un payload JavaScript da un endpoint HTTPS controllato dall'attaccante (configurabile tramite una variabile d'ambiente), disabilitava la verifica TLS ed eseguiva la risposta come codice con `require` disponibile. L'esecuzione è stata deliberatamente saltata su CI e ambienti cloud/serverless, prendendo di mira le workstation degli sviluppatori. Il payload di secondo livello era ospitato dall'attaccante e non può essere ricostruito. Si assume il compromesso completo di tutto ciò che è raggiungibile da un processo Node con i permessi dell'utente. Coloro che hanno eseguito `npm install` su un checkout interessato su una macchina degli sviluppatori dal 2018-05-18 19:26:36 in poi dovrebbero considerare la macchina compromessa, ruotare tutte le credenziali raggiungibili dalla macchina, verificare l'attività dell'**account** dal 2018-05-18 19:26:36 e pulire i cloni locali.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.