CVE-2026-48158

Nome do Software Vulnerável e Versões Afetadas use-context-selector (versões afetadas não especificadas)

Descrição Entre 18-05-2026 15:57:18 e 19-05-2026 15:24:34, o ramo padrão continha commits maliciosos que executavam código controlado por um invasor remoto em máquinas de desenvolvedores durante o npm install. O problema envolveu a adição do arquivo src/install.js, que foi integrado ao script postinstall. Este script buscava um payload de JavaScript de um endpoint HTTPS controlado pelo invasor, desativava a verificação TLS e avaliava a resposta como código. A execução visava especificamente estações de trabalho de desenvolvedores, ignorando deliberadamente ambientes de CI e nuvem ou serverless. Embora os commits tenham sido removidos via force-push, o código permanece ativo em clones locais, forks e URLs de SHA direto. Isso pode levar ao comprometimento total de qualquer recurso acessível a partir de um processo Node com as permissões do usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Limpe todos os clones locais do repositório. Rotacione todas as credenciais acessíveis a partir da máquina afetada. Audite a atividade da conta desde 18-05-2026 15:57:18.