CVE-2026-48160 in react-tracked
要約
〜によって VulDB • 2026年08月10日
react-trackedは、プロキシを使用して状態の使用を追跡します。2026年5月18日19時26分36秒から2026年5月19日15時22分45秒の間に、デフォルトブランチには悪意のあるコミット 6978272a7d6ca02225cb747ea69f427512e33699 から 949f1a3d6bb1ff7d1a0dec892afd773e742627e8 が含まれており、これらは `npm install` の実行時に開発者マシンの上で攻撃者が制御するコードを実行しました。これらのコミットは強制プッシュによって削除されましたが、ローカルクローン、フォーク、および直接SHA URLにはまだそれらが残っている可能性があり、影響を受けたチェックアウトに対して `npm install` を実行すると、今日でも依然としてコードが実行されます。このパッケージは npm への公開されていませんでした。`src/install.js` が追加され、`postinstall` スクリプトに接続されました。これは攻撃者が制御するHTTPSエンドポイントからJavaScriptペイロードを取得し（環境変数で構成可能）、TLS検証を無効にし、`require` を使用してレスポンスをコードとして評価しました。実行は意図的にCIおよびクラウド/サーバーレス環境ではスキップされ、開発者ワークステーションを対象としました。2段目のペイロードは攻撃者がホストしており、再構築することはできません。ユーザーの権限を持つNodeプロセスから到達可能なものはすべて完全に侵害されたものと仮定してください。2026年5月18日19時26分36日以降に開発者マシン上で影響を受けたチェックアウトに対して `npm install` を実行した者は、そのマシンを侵害されたと見なし、マシンが到達できるすべての資格情報をローテーションし、**2026年5月18日19時26分36日以降のアカウントアクティビティ監査を行い、ローカルクローンをクリーンアップする必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.