Lien Plusieurs modules npm très utilisés compromis

• # Mon projet est-il impacté ?

  Posté par Cyrille Pontvieux (site web personnel, Mastodon) le 09 septembre 2025 à 15:17. Évalué à 7 (+5/-0).

  

  Si vous utilisez yarn, voici ce que vous pouvez faire pour voir si vous avez un paquet infecté :

  yarn list|grep -E 'ansi-styles@6.2.2|strip-ansi@7.1.1|ansi-regex@6.2.1|debug@4.4.2|color-convert@3.1.1|color-name@2.0.1|supports-color@10.2.1|chalk@5.6.1|wrap-ansi@9.0.1|slice-ansi@7.1.1|color@5.0.1|color-string@2.1.1|is-arrayish@0.3.3|simple-swizzle@0.2.3|supports-hyperlinks@4.1.1|has-ansi@6.0.1|chalk-template@1.1.1|backslash@0.2.1'

  Pour npm, il faut remplacer par npm list --all, et pour pnpm par pnpm list --parseable

  • [^] # Re: Mon projet est-il impacté ?

    Posté par raphj (site web personnel) le 09 septembre 2025 à 16:10. Évalué à 4 (+2/-0).

    

    Et aussi les paquets DuckDB versions 1.3.3 et 1.29.2.

    https://github.com/duckdb/duckdb-node/security/advisories/GHSA-w62p-hx95-gf2c

    Je me demande si on va découvrir encore d'autres paquets compromis.

    Dans le doute, je n'ai pas mis à jour mes instances PeerTube aujourd'hui vers la version qui vient de sortir.

    • [^] # Re: Mon projet est-il impacté ?

      Posté par vitanix le 09 septembre 2025 à 21:27. Évalué à 3 (+2/-0).

      

      Il y a une liste plus conséquente de packet ici :
      https://thehackernews.com/2025/09/20-popular-npm-packages-with-2-billion.html

      La liste :

      • ansi-regex@6.2.1
      • ansi-styles@6.2.2
      • backslash@0.2.1
      • chalk@5.6.1
      • chalk-template@1.1.1
      • color-convert@3.1.1
      • color-name@2.0.1
      • color-string@2.1.1
      • debug@4.4.2
      • error-ex@1.3.3
      • has-ansi@6.0.1
      • is-arrayish@0.3.3
      • proto-tinker-wc@1.8.7
      • supports-hyperlinks@4.1.1
      • simple-swizzle@0.2.3
      • slice-ansi@7.1.1
      • strip-ansi@7.1.1
      • supports-color@10.2.1
      • supports-hyperlinks@4.1.1
      • wrap-ansi@9.0.1

      et :

      • @coveops/abi@2.0.1
      • @duckdb/duckdb-wasm@1.29.2
      • @duckdb/node-api@1.3.3
      • @duckdb/node-bindings@1.3.3
      • duckdb@1.3.3
      • prebid@10.9.1
      • prebid@10.9.2
      • prebid-universal-creative@1.17.3

      et j'ai bien peur, que la liste va s’allonger.

      Ce que j'aimerais bien savoir c'est à partir de quand, le piratage a été fait.

      • [^] # Re: Mon projet est-il impacté ?

        Posté par vitanix le 09 septembre 2025 à 21:59. Évalué à 3 (+2/-0).

        

        D'apres le site, le problème s'est posé le 8 septembre de 9h am à 11h am EST, c-a-d de 4h à 6h du matin heure de Paris. A 11h, il était supprimé de Qix.

      • [^] # Re: Mon projet est-il impacté ?

        Posté par Cyrille Pontvieux (site web personnel, Mastodon) le 11 septembre 2025 à 21:29. Évalué à 2 (+0/-0).

        

        J’étais parti de cette source mais en effet on dirait que ça s’allonge… En même temps npm (le dépôt et la société qui est derrière) n’en n’est pas à son premier flop.

Envoyer un commentaire

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.