CVE-2026-48161 in react18-use
Riassunto
di VulDB • 11/08/2026
react18-use è uno shim per il hook `use` di React 19. Tra il 2026-05-19 01:07:01 e il 2026-05-19 15:20:43, il branch predefinito conteneva commit malevoli da `7b79148d1495a2505f9277da295a98cf176f4496` a `7b79148d1495a2505f9277da295a98cf176f4496` che eseguivano codice controllato da un attaccante remoto sulle macchine degli sviluppatori durante l'esecuzione di `npm install`. I commit sono stati rimossi tramite force-push, ma i cloni locali, i fork e gli URL con SHA diretto potrebbero ancora contenerli, ed eseguire `npm install` su un checkout interessato causerà comunque l'esecuzione del codice anche oggi. Il pacchetto non è stato pubblicato su npm. È stato aggiunto `src/install.js` e collegato allo script `postinstall`. Questo scaricava un payload JavaScript da un endpoint HTTPS controllato dall'attaccante (configurabile tramite una variabile d'ambiente), disabilitava la verifica TLS ed eseguiva la risposta come codice con il contesto di `require` disponibile. L'esecuzione è stata deliberatamente saltata negli ambienti CI e cloud/serverless, prendendo di mira le workstation degli sviluppatori. Il payload di secondo livello era ospitato dall'attaccante e non può essere ricostruito. Si presuma una compromissione completa di qualsiasi risorsa raggiungibile da un processo Node con i permessi dell'utente. Coloro che hanno eseguito `npm install` su un checkout interessato su una macchina sviluppatore il 2026-05-19 alle ore 01:07:01 o successivamente dovrebbero considerare la macchina come compromessa, ruotare tutte le credenziali accessibili dalla macchina, verificare l'attività degli account dal 2026-05-19 01:07:01 e pulire i cloni locali.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.