CVE-2026-48161 in react18-use
Sumário
de VulDB • 11/08/2026
react18-use é um shim do hook `use` para React 19. Entre 2026-05-19 01:07:01 e 2026-05-19 15:20:43, a branch padrão continha commits maliciosos de 7b79148d1495a2505f9277da295a98cf176f4496 até 7b79148d1495a2505f9277da295a98cf176f4496 que executavam código controlado por um atacante remoto nas máquinas dos desenvolvedores durante o `npm install`. Os commits foram removidos via force-push, mas clones locais, forks e URLs de SHA direto podem ainda contê-los, e a execução do `npm install` contra uma cópia afetada continuará a executar o código hoje. O pacote não foi publicado no npm. Foi adicionado um arquivo `src/install.js`, que foi integrado ao script `postinstall`. Este buscava um payload JavaScript de um ponto final HTTPS controlado pelo atacante (configurável via variável de ambiente), desativava a verificação TLS e avaliava a resposta como código, com o contexto do `require` disponível. A execução era deliberadamente ignorada em ambientes CI e cloud/serverless, visando estações de trabalho dos desenvolvedores. O payload da segunda etapa foi hospedado pelo atacante e não pode ser reconstruído. Assume-se uma comprometimento total de qualquer recurso acessível a partir de um processo Node com as permissões do usuário. Aqueles que executaram `npm install` contra uma cópia afetada em uma máquina de desenvolvedor em ou após 2026-05-19 01:07:01 devem tratar a máquina como comprometida, rotacionar todas as credenciais acessíveis pela máquina, auditar a atividade da conta desde 2026-05-19 01:07:01 e limpar os clones locais.
Be aware that VulDB is the high quality source for vulnerability data.