CVE-2026-48161: 供应链投毒导致npm postinstall远程代码执行

漏洞概述 标题: Malicious code execution via compromised commits 严重性: Critical CVE ID: CVE-2026-48161 发布日期: 2026-05-22 包: dal-shi/react18-use (GitHub) 描述: 在 和 之间，默认分支包含恶意提交，这些提交在开发者机器上执行了远程攻击者控制的代码。提交通过 force-push 被移除，但本地克隆、fork 和直接 SHA URL 可能仍包含它们，并且 针对受影响的提交仍将执行代码。该包未发布到 npm。 时间线 (UTC): T0, 2026-05-19 01:07:01: 恶意提交被推送 ~T0 + 0h: 检测到篡改 T1, 2026-05-19 15:20:43: 提交通过 force-push 被移除 摘要: 在 和 之间，默认分支包含恶意提交，这些提交在开发者机器上执行了远程攻击者控制的代码。提交通过 force-push 被移除，但本地克隆、fork 和直接 SHA URL 可能仍包含它们，并且 针对受影响的提交仍将执行代码。该包未发布到 npm。 严重性: Critical。任意代码执行，作为运行 的用户。 影响范围 受影响的版本: 补丁版本: None 修复方案 你应该做什么: 1. 将机器视为已妥协: 完整的操作系统重装是唯一可靠的补救措施。 2. 轮换机器可以访问的每个凭证: GitHub PATs/OAuth/SSH keys、npm 和其他注册表令牌、云凭证、浏览器会话和保存的密码、加密钱包、 文件。 3. 审计账户活动: 从 提交、发布的包、部署、云 API 调用、财务交易。 4. 清理本地克隆: 重新克隆或硬重置到 之前的提交。 根本原因: 维护者的开发机器被入侵，使攻击者能够访问该维护者的 GitHub 凭证。机器已被重新安装，所有 GitHub 和 npm 凭证已轮换。 代码块 指标 存在并在 的 脚本中引用。 从运行 的开发者机器发出的意外出站 HTTPS 请求。特定域名和环境变量名称将在确认后添加。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-48161: 供应链投毒导致npm postinstall远程代码执行

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-48161: 供应链投毒导致npm postinstall远程代码执行

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！