Ad

CVE-2026-48158

CRITICAL CVSS 4.0: 9,3
Обновлено 11 августа 2026
Payload
Параметр Значение
CVSS 9,3 (CRITICAL)
Тип уязвимости CWE-506
Поставщик Payload
Публичный эксплойт Нет

use-context-selector — это хук useContextSelector в React в пользовательском пространстве. В период с 18 мая 2026 г. 15:57:18 по 19 мая 2026 г. 15:24:34 ветка по умолчанию содержала вредоносные коммиты 9d8481a513b7b0d1c0941b220c69b25de748641b через 6f2dae054ca014068bdbbb4db96006424d674124, который выполнял удаленный код, контролируемый злоумышленником, на компьютерах разработчиков во время `npm install`. Коммиты были удалены принудительной отправкой, но локальные клоны, форки и URL-адреса прямого SHA могут по-прежнему содержать их, а `npm install` для затронутой проверки по-прежнему будет выполнять код сегодня.

Пакет не был опубликован в npm. `src/install.js` был добавлен и подключен к сценарию `postinstall`. Он получил полезную нагрузку JavaScript от контролируемой злоумышленником конечной точки HTTPS (настраиваемой через переменную среды), отключил проверку TLS и оценил ответ как код с доступным `require`. Выполнение было намеренно пропущено в CI и облачных/бессерверных средах, ориентированных на рабочие станции разработчиков.

Полезная нагрузка второго этапа была размещена злоумышленником и не может быть восстановлена. Предположим, что все, что доступно из процесса Node, с разрешениями пользователя полностью скомпрометировано. Те, кто запустил `npm install` для затронутой проверки на компьютере разработчика 18 мая 2026 г., 15:57:18, должны рассматривать компьютер как скомпрометированный, заменить все учетные данные, к которым может получить доступ компьютер, проверить активность учетной записи** с 18 мая 2026 г., 15:57:18, и очистить локальные клоны.

Показать оригинальное описание (EN)

use-context-selector is a React useContextSelector hook in userland Between 2026-05-18 15:57:18 and 2026-05-19 15:24:34, the default branch contained malicious commits 9d8481a513b7b0d1c0941b220c69b25de748641b through 6f2dae054ca014068bdbbb4db96006424d674124 that executed remote attacker-controlled code on developer machines during `npm install`. The commits were removed by force-push, but local clones, forks, and direct-SHA URLs may still contain them, and `npm install` against an affected checkout will still execute the code today. The package was not published to npm. `src/install.js` was added and wired into the `postinstall` script. It fetched a JavaScript payload from an attacker-controlled HTTPS endpoint (configurable via an environment variable), disabled TLS verification, and evaluated the response as code with `require` available. Execution was deliberately skipped on CI and cloud/serverless environments, targeting developer workstations. The second-stage payload was attacker-hosted and cannot be reconstructed. Assume full compromise of anything reachable from a Node process with the user's permissions. Those who ran `npm install` against an affected checkout on a developer machine on or after 2026-05-18 15:57:18 should treat the machine as compromised, rotate every credential the machine could reach, audit account activity** since 2026-05-18 15:57:18, and clean local clones.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0

Тип уязвимости (CWE)

Уязвимые продукты

dai-shi:use-context-selector