CVE-2026-48161 in react18-use
Сводка
по VulDB • 11.08.2026
react18-use — это shim для хука use в React 19. В период с 2026-05-19 01:07:01 до 2026-05-19 15:20:43 ветка по умолчанию содержала вредоносные коммиты от 7b79148d1495a2505f9277da295a98cf176f4496 до 7b79148d1495a2505f9277da295a98cf176f4496, которые выполняли код, контролируемый удаленным злоумышленником, на машинах разработчиков во время выполнения команды `npm install`. Коммиты были удалены с помощью force-push, однако локальные клоны, форки и прямые ссылки по SHA-хешу могут все еще содержать их, а выполнение `npm install` для затронутой версии кода будет продолжать запускать этот код. Пакет не был опубликован в npm. Файл `src/install.js` был добавлен и подключен к скрипту `postinstall`. Он загружал JavaScript-пейлоад с контролируемого злоумышленником HTTPS-эндпоинта (конфигурируемого через переменную окружения), отключал проверку TLS и выполнял полученный ответ как код, предоставляя доступ к функции `require`. Выполнение намеренно пропускалось в CI-средах и облачных/serverless-окружениях, чтобы сфокусироваться на рабочих станциях разработчиков. Пейлоад второго этапа размещался злоумышленником и не может быть восстановлен. Следует считать полностью скомпрометированными все ресурсы, доступные из процесса Node.js от имени пользователя. Тем, кто запустил `npm install` для затронутой версии кода на машине разработчика 2026-05-19 в 01:07:01 или позже, следует считать машину скомпрометированной, изменить все учетные данные, доступ к которым могла получить машина, проверить активность аккаунтов за период начиная с 2026-05-19 01:07:01 и очистить локальные клоны.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.