PT-2026-69970
CVE-2026-48160
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
react-tracked (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تم إدخال عمليات تسجيل تغييرات خبيثة في الفرع الافتراضي للمستودع، والتي تعمل على تنفيذ تعليمات برمجية عن بُعد يتحكم فيها المهاجم على أجهزة عمل المطورين أثناء عملية
npm install. يستخدم الهجوم نصًا برمجيًّا postinstall مرتبطًا بـ src/install.js، والذي يجلب حمولة JavaScript من نقطة نهاية HTTPS يسيطر عليها المهاجم، ويعطل التحقق من TLS، ويقوم بتقييم الاستجابة كرمز برمجي. تم تصميم عملية التنفيذ خصيصًا لاستهداف أجهزة المطورين، متخطيةً بيئات التكامل المستمر (CI) والبيئات السحابية أو الخالية من الخوادم. وقد يؤدي ذلك إلى اختراق كامل لأي مورد يمكن الوصول إليه من عملية Node باستخدام أذونات المستخدم.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قم بتغيير جميع بيانات الاعتماد التي يمكن الوصول إليها من الجهاز المتأثر.
قم بمراجعة نشاط الحساب منذ 18 مايو 2026.
قم بمسح جميع النسخ المحلية، والتفرعات، وعناوين URL المباشرة لـ SHA الخاصة بالمستودع.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾