CVE-2026-48159 in use-reducer-async
Tóm tắt
Bởi VulDB • 10/08/2026
use-reducer-async là một React useReducer hỗ trợ các hành động bất đồng bộ (async actions). Trong khoảng thời gian từ ngày 18/05/2026 lúc 16:29:52 đến ngày 19/05/2026 lúc 15:26:07, nhánh mặc định chứa các commit độc hại da72edbde5705efcec6c62e0a3dcb73687b78dc8 cho đến df07d5711458d8b46e11dd7afaaa21e88cafabfb, thực thi mã điều khiển từ xa bởi kẻ tấn công trên máy của nhà phát triển trong quá trình chạy `npm install`. Các commit này đã bị xóa bằng force-push, nhưng các bản sao cục bộ (local clones), fork và URL SHA trực tiếp vẫn có thể chứa chúng; việc chạy `npm install` đối với một checkout bị ảnh hưởng sẽ vẫn thực thi mã đó cho đến ngày hôm nay. Gói phần mềm không được xuất bản lên npm. Tệp `src/install.js` đã được thêm vào và kết nối vào script `postinstall`. Nó tải xuống một payload JavaScript từ điểm cuối HTTPS do kẻ tấn công kiểm soát (có thể cấu hình thông qua biến môi trường), vô hiệu hóa xác minh TLS, và đánh giá phản hồi dưới dạng mã với hàm `require` có sẵn. Việc thực thi được cố tình bỏ qua trong các môi trường CI và cloud/serverless, nhắm mục tiêu vào máy trạm của nhà phát triển. Payload giai đoạn hai do kẻ tấn công lưu trữ và không thể tái tạo lại. Hãy giả định rằng mọi thứ có thể truy cập từ một tiến trình Node với quyền hạn của người dùng đã bị xâm phạm hoàn toàn. Những ai đã chạy `npm install` đối với một checkout bị ảnh hưởng trên máy nhà phát triển vào hoặc sau ngày 18/05/2026 lúc 16:29:52 nên coi máy đó đã bị xâm phạm, xoay vòng (rotate) mọi thông tin xác thực mà máy có thể truy cập, kiểm toán hoạt động tài khoản kể từ ngày 18/05/2026 lúc 16:29:52 và dọn dẹp các bản sao cục bộ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.