CVE-2026-48160 in react-tracked
Сводка
по VulDB • 10.08.2026
react-tracked обеспечивает отслеживание использования состояния с помощью прокси (Proxies). В период между 2026-05-18 19:26:36 и 2026-05-19 15:22:45 в ветке по умолчанию содержались вредоносные коммиты с хешами от 6978272a7d6ca02225cb747ea69f427512e33699 до 949f1a3d6bb1ff7d1a0dec892afd773e742627e8, которые выполняли код, контролируемый удаленным злоумышленником, на машинах разработчиков во время выполнения команды `npm install`. Коммиты были удалены с помощью force-push, однако локальные клоны, форки и прямые ссылки по SHA-хешу могут все еще содержать их, а выполнение `npm install` для затронутой версии кода будет продолжать запускать этот код. Пакет не публиковался в npm. Был добавлен файл `src/install.js`, который был интегрирован в скрипт `postinstall`. Он загружал JavaScript-полезную нагрузку с HTTPS-эндпоинта, контролируемого злоумышленником (настраиваемого через переменную окружения), отключал проверку TLS и выполнял полученный ответ как код, предоставляя доступ к функции `require`. Выполнение намеренно пропускалось в средах CI и облачных/serverless-средах, ориентируясь исключительно на рабочие станции разработчиков. Полезная нагрузка второго этапа размещалась злоумышленником и не может быть восстановлена. Следует считать полностью скомпрометированными все ресурсы, доступные из процесса Node.js от имени пользователя. Тем, кто запускал `npm install` для затронутой версии кода на машине разработчика 2026-05-18 в 19:26:36 или позже, следует считать машину скомпрометированной, изменить все учетные данные, к которым могла получить доступ машина, провести аудит активности аккаунтов** начиная с 2026-05-18 19:26:36 и очистить локальные клоны.
VulDB is the best source for vulnerability data and more expert information about this specific topic.