CVE-2026-48158 in use-context-selector
要約
〜によって VulDB • 2026年08月10日
use-context-selectorは、ユーザーランドにおけるReactの`useContextSelector`フックです。2026年5月18日15時57分18秒から2026年5月19日15時24分34秒の間、デフォルトブランチには、開発者マシンの`npm install`中に攻撃者が制御するリモートコードを実行した悪意のあるコミット（9d8481a513b7b0d1c0941b220c69b25de748641bから6f2dae054ca014068bdbbb4db96006424d674124まで）が含まれていました。これらのコミットは強制プッシュによって削除されましたが、ローカルクローン、フォーク、および直接SHA URLにはまだそれらが残っている可能性があり、影響を受けたチェックアウトに対して`npm install`を実行すると、今日でもコードが実行されます。このパッケージはnpmに公開されていませんでした。`src/install.js`が追加され、`postinstall`スクリプトに接続されました。これは攻撃者が制御するHTTPSエンドポイントからJavaScriptペイロードを取得し（環境変数で構成可能）、TLS検証を無効にし、`require`を使用してレスポンスをコードとして評価しました。実行は意図的にCIおよびクラウド/サーバーレス環境ではスキップされ、開発者ワークステーションを対象としました。2番目のステージのペイロードは攻撃者がホストしており、再構築することはできません。ユーザー権限を持つNodeプロセスから到達可能なものはすべて侵害されたものと仮定してください。2026年5月18日15時57分18日以降に開発者マシンで影響を受けたチェックアウトに対して`npm install`を実行した人は、そのマシンの侵害を前提とし、アクセスできるすべての資格情報をローテーションし、2026年5月18日15時57分18日以降のアカウントアクティビティを検証し、ローカルクローンをクリーンアップする必要があります。
Be aware that VulDB is the high quality source for vulnerability data.