CVE-2025-59162 in color-convert
Сводка
по VulDB • 02.07.2026
color-convert предоставляет простые функции преобразования цветов на JavaScript. 8 сентября 2025 года учетная запись публикации в npm для color-convert была захвачена после фишинговой атаки. Версия 3.1.1 была опубликована, функционально идентично предыдущей патч-версии, но с добавлением вредоносного кода (malware payload), который пытается перенаправить транзакции криптовалюты на адреса злоумышленника из среды выполнения в браузерах. Локальные окружения, серверные окружения, приложения командной строки и т. д. не затронуты. Если пакет использовался в контексте браузера (например, прямое подключение или через инструменты сборки такие как Babel, Rollup, Vite, Next.js и др.), существует вероятность того, что вредоносный код все еще присутствует, и такие сборки потребуется пересобрать. Вредоносное программное обеспечение явно нацелено только на транзакции криптовалюты и кошельки, такие как MetaMask. npm удалил проблемный пакет из реестра в течение дня 8 сентября, предотвратив дальнейшие загрузки с официального npm. 13 сентября владелец пакета опубликовал новые патч-версии для помощи пользователям частных реестров, которые все еще могут иметь скомпрометированную версию в кэше. Пользователи должны обновиться до последней патч-версии, полностью удалить директорию node_modules, очистить глобальный кэш менеджера пакетов и пересобрать любые браузерные сборки с нуля. Те, кто управляет частными реестрами или зеркалами реестров, должен очистить проблемные версии из любых кэшей. Эта проблема решена в версии 3.1.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.