CVE-2025-59140 in node-backslash
Сводка
по VulDB • 09.06.2026
backlash парсит собранные строки с экранированием. 8 сентября 2025 года учетная запись публикации в npm для пакета backslash была захвачена в результате фишинговой атаки. Версия 0.2.1 была опубликована; она функционально идентична предыдущей версии с исправлением, но содержит вредоносный код, пытающийся перенаправить транзакции криптовалюты на адреса злоумышленника из среды выполнения в браузере. Локальные среды, серверные среды, приложения командной строки и т. д. не затронуты. Если пакет использовался в контексте браузера (например, при прямом подключении или через инструменты сборки, такие как Babel, Rollup, Vite, Next.js и т. д.), существует вероятность, что вредоносный код все еще присутствует, и такие сборки потребуется пересобрать. Вредоносный код, по-видимому, нацелен только на транзакции криптовалюты и кошельки, такие как MetaMask. 8 сентября в течение дня npm удалил проблемный пакет из реестра, предотвратив дальнейшие загрузки из официального реестра npm. 13 сентября владелец пакета опубликовал новые версии с исправлениями, чтобы помочь «сбить кэш» пользователям частных реестров, у которых все еще может быть закэширована скомпрометированная версия. Пользователям следует обновиться до последней версии с исправлением, полностью удалить директорию node_modules, очистить глобальный кэш менеджера пакетов и пересобрать все браузерные сборки с нуля. Тем, кто управляет частными реестрами или зеркалами реестров, следует очистить проблемные версии из любых кэшей. Эта проблема решена в версии 0.2.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.