PT-2025-36995 · Prebid.Js · Prebid.Js

Patmmccann · Publicado 2025-09-09 · Atualizado 2025-09-11 · CVE-2025-59038

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Prebid.js anteriores a 10.10.0 Versão 10.9.2 do Prebid.js

Descrição: O Prebid.js é uma biblioteca gratuita e de código aberto utilizada por editores para implementar header bidding. Usuários do NPM da versão 10.9.2 podem ter sido comprometidos por uma campanha de malware que tenta redirecionar transações de criptomoedas no site para a carteira dos atacantes.

Recomendações: Atualize para a versão 10.10.0 do Prebid.js. Faça downgrade para a versão 10.9.1 do Prebid.js.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-506

Identificadores relacionados

CVE-2025-59038

GHSA-JWQ7-6J4R-2F92

MAL-2025-46990

Produtos afetados

Prebid.Js

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/59xxx/CVE-2025-59038.json · Exploit
• https://github.com/prebid/Prebid.js/security/advisories/GHSA-jwq7-6j4r-2f92 · Nota
• https://github.com/prebid/Prebid.js · Nota
• https://github.com/prebid/Prebid.js/releases/tag/10.10.0 · Nota
• https://github.com/prebid/Prebid.js/commit/72c7f184028f51ba15cdac744d56590b0f2b1f1e · Nota
• https://github.com/advisories/GHSA-4hjx-fhh8-vr6j · Nota
• https://bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack · Nota
• https://twitter.com/offseq/status/1965618905684046048 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1965597139314057393 · Publicação no Twitter
• https://github.com/advisories/GHSA-jwq7-6j4r-2f92 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-59038 · Nota de Segurança
• https://aikido.dev/blog/npm-debug-and-chalk-packages-compromised · Nota
• https://osv.dev/vulnerability/CVE-2025-59038 · Aviso do Fabricante
• https://snyk.io/blog/npm-supply-chain-attack-via-open-source-maintainer-compromise · Nota
• https://sonatype.com/blog/npm-chalk-and-debug-packages-hit-in-software-supply-chain-attack · Nota