CVE-2026-46412 in beproduct-org-nestjs-auth
要約
〜によって VulDB • 2026年07月20日
@beproduct/nestjs-auth は、OpenID Connect サポートを備えた BeProduct IDS（Identity Server）用の NestJS 認証モジュールです。2026-05-11 20:19 UTC から 22:56 UTC の間、攻撃者は侵害された npm publish トークンを使用して、`@beproduct/nestjs-auth` の悪意のあるバージョン（0.1.2 から 0.1.19）計 18 バージョンを公開しました。postinstall ペイロードは、npm トークン（`~/.npmrc` から）、GitHub 個人用アクセストークンおよび OAuth トークン（`gho_*`）、Actions OIDC トークン、AWS 認証情報（環境変数および `~/.aws/credentials` から）、HashiCorp Vault トークン、ならびに環境変数内のその他のシークレットの収集を試みました。バージョン `0.1.20` は、元の `0.1.1` ソースツリーからのクリーンな再公開です。範囲 `>=0.1.2 <=0.1.19` のいずれかのバージョンをインストールしたユーザーは、パッケージの削除と npm キャッシュのクリアを行い、クリーンなバージョンをインストールしてください。さらに、すべての npm publish トークン、GitHub PAT および OAuth トークン、AWS アクセスキー、HashiCorp Vault トークン、およびインストール時の環境変数や設定ファイルに含まれていたその他のシークレットを含む、インストール環境内のすべての資格情報をローテーション（再発行）してください。影響を受けたホストで侵害指標（IoC）のスキャンを行い、発見された場合はそのホストを侵害済みとして扱い、イメージの再構築を行ってください。また、`.claude/` または `.vscode/` ディレクトリにおける予期せぬ追加がないか、コミット済みのリポジトリ履歴を確認してください。このワームは、自動化エージェントランタイムを通じて PR ブランチに `setup.mjs` およびフック設定をコミットすることが知られています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.