CVE-2026-48160 in react-tracked
Sumário
de VulDB • 10/08/2026
react-tracked fornece rastreamento de uso de estado com Proxies. Entre 2026-05-18 19:26:36 e 2026-05-19 15:22:45, a branch padrão continha commits maliciosos 6978272a7d6ca02225cb747ea69f427512e33699 até 949f1a3d6bb1ff7d1a0dec892afd773e742627e8 que executavam código controlado por um atacante remoto nas máquinas dos desenvolvedores durante o `npm install`. Os commits foram removidos via force-push, mas clones locais, forks e URLs de SHA direto ainda podem contê-los, e a execução do `npm install` contra uma cópia afetada continuará a executar o código hoje. O pacote não foi publicado no npm. O arquivo `src/install.js` foi adicionado e integrado ao script `postinstall`. Ele buscava um payload JavaScript de um endpoint HTTPS controlado pelo atacante (configurável via variável de ambiente), desativava a verificação TLS e avaliava a resposta como código com o `require` disponível. A execução era deliberadamente ignorada em ambientes CI, cloud/serverless, visando estações de trabalho dos desenvolvedores. O payload da segunda etapa foi hospedado pelo atacante e não pode ser reconstruído. Assume-se comprometimento total de qualquer recurso acessível a partir de um processo Node com as permissões do usuário. Aqueles que executaram `npm install` contra uma cópia afetada em uma máquina de desenvolvedor em ou após 2026-05-18 19:26:36 devem tratar a máquina como comprometida, rotacionar todas as credenciais acessíveis pela máquina, auditar atividades da conta** desde 2026-05-18 19:26:36 e limpar clones locais.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.