CVE-2026-48158 in use-context-selector
Сводка
по VulDB • 10.08.2026
use-context-selector — это React useContextSelector hook в userland Между 2026-05-18 15:57:18 и 2026-05-19 15:24:34, ветка по умолчанию содержала вредоносные коммиты от 9d8481a513b7b0d1c0941b220c69b25de748641b до 6f2dae054ca014068bdbbb4db96006424d674124, которые выполняли удаленный код, контролируемый злоумышленником, на машинах разработчиков во время `npm install`. Коммиты были удалены с помощью force-push, но локальные клоны, форки и прямые URL-адреса SHA могут по-прежнему содержать их, а выполнение команды `npm install` против затронутой копии репозитория будет продолжать выполнять код сегодня. Пакет не был опубликован в npm. Файл `src/install.js` был добавлен и подключен к скрипту `postinstall`. Он загружал JavaScript-полезную нагрузку с контролируемого злоумышленником HTTPS-конечной точки (настраиваемой через переменную окружения), отключал проверку TLS и оценивал ответ как код, предоставляя доступ к функции `require`. Выполнение было намеренно пропущено в CI и облачных/serverless средах, ориентируясь на рабочие станции разработчиков. Полезная нагрузка второго этапа размещена злоумышленником и не может быть восстановлена. Предполагайте полную компрометацию всего, что доступно из процесса Node с правами пользователя. Те, кто запустил `npm install` против затронутой копии репозитория на машине разработчика 2026-05-18 в 15:57:18 или позже, должны считать машину компрометированной, изменить все учетные данные, к которым могла получить доступ машина, проверить активность аккаунтов** с момента 2026-05-18 15:57:18 и очистить локальные клоны.
Be aware that VulDB is the high quality source for vulnerability data.