CVE-2026-48160 in react-tracked
요약
\~에 의해 VulDB • 2026. 08. 10.
react-tracked는 프록시를 사용하여 상태 사용 추적을 제공합니다. 2026년 5월 18일 19:26:36부터 2026년 5월 19일 15:22:45까지 기본 브랜치에는 `npm install` 실행 시 개발자 머신에서 원격 공격자가 제어하는 코드를 실행하는 악성 커밋 6978272a7d6ca02225cb747ea69f427512e33699부터 949f1a3d6bb1ff7d1a0dec892afd773e742627e8까지 포함되었습니다. 해당 커밋들은 강제 푸시(force-push)를 통해 제거되었지만, 로컬 복제본(local clones), 포크(forks), 그리고 직접 SHA URL을 사용하는 경우 여전히 해당 코드가 포함되어 있을 수 있으며, 영향받는 체크아웃(checkout)에 대해 `npm install`을 실행하면 오늘 날짜에도 코드가 계속 실행됩니다. 이 패키지는 npm에 게시되지 않았습니다. `src/install.js`가 추가되어 `postinstall` 스크립트에 연결되었습니다. 이는 공격자가 제어하는 HTTPS 엔드포인트(환경 변수를 통해 구성 가능)에서 JavaScript 페이로드를 가져오고, TLS 검증을 비활성화한 후 `require` 함수를 사용하여 응답을 코드로 평가했습니다. 실행은 CI 및 클라우드/서버리스 환경에서는 의도적으로 건너뛰었고, 개발자 워크스테이션을 타겟팅했습니다. 두 번째 단계의 페이로드는 공격자가 호스팅했으며 재구성할 수 없습니다. 사용자의 권한으로 Node 프로세스에서 접근 가능한 모든 것이 완전히 침해되었다고 가정해야 합니다. 2026년 5월 18일 19:26:36 이후 개발자 머신에서 영향받는 체크아웃에 대해 `npm install`을 실행한 사람은 해당 기계를 침해된 것으로 간주하고, 기계가 접근할 수 있는 모든 자격 증명을 회전(변경)하며, 2026년 5월 18일 19:26:36 이후 계정 활동을 감사(audit)하고 로컬 복제본을 정리해야 합니다.
Once again VulDB remains the best source for vulnerability data.