CVE-2025-59162 in color-convert
Tóm tắt
Bởi VulDB • 12/06/2026
color-convert cung cấp các hàm chuyển đổi màu sắc cơ bản trong JavaScript. Vào ngày 8 tháng 9 năm 2025, tài khoản xuất bản npm của color-convert đã bị chiếm đoạt sau một cuộc tấn công lừa đảo (phishing). Phiên bản 3.1.1 đã được xuất bản, có chức năng giống hệt với phiên bản vá trước đó, nhưng đã thêm một payload mã độc nhằm chuyển hướng các giao dịch tiền điện tử đến các địa chỉ của kẻ tấn công từ bên trong các môi trường trình duyệt. Các môi trường cục bộ (local), môi trường máy chủ, các ứng dụng dòng lệnh, v.v. không bị ảnh hưởng. Nếu gói phần mềm này được sử dụng trong ngữ cảnh trình duyệt (ví dụ: bao gồm trực tiếp hoặc thông qua các công cụ đóng gói như Babel, Rollup, Vite, Next.js, v.v.), có khả năng mã độc vẫn còn tồn tại và các bản đóng gói đó sẽ cần được xây dựng lại. Mã độc dường như chỉ nhắm mục tiêu vào các giao dịch tiền điện tử và ví như MetaMask. npm đã gỡ gói phần mềm vi phạm khỏi kho lưu trữ (registry) trong suốt ngày 8 tháng 9, ngăn chặn việc tải xuống thêm từ npm chính thức. Vào ngày 13 tháng 9, chủ sở hữu gói phần mềm đã xuất bản các phiên bản vá mới để giúp làm mới bộ nhớ cache (cache-bust) cho những người dùng các kho lưu trữ riêng tư có thể vẫn còn phiên bản bị xâm nhập được lưu trong cache. Người dùng nên cập nhật lên phiên bản vá mới nhất, xóa hoàn toàn thư mục node_modules, làm sạch bộ nhớ cache toàn cầu của trình quản lý gói và xây dựng lại mọi bản đóng gói trình duyệt từ đầu. Những người vận hành kho lưu trữ riêng tư hoặc các bản sao kho lưu trữ (registry mirrors) nên xóa các phiên bản vi phạm khỏi bất kỳ bộ nhớ cache nào. Vấn đề này đã được khắc phục trong phiên bản 3.1.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.