PT-2025-37749 · Npm · Is-Arrayish

Informatic · Publicado 2025-09-08 · Atualizado 2025-09-20 · CVE-2025-59331

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Red

Nome do Software Vulnerável e Versões Afetadas Versões do is-arrayish anteriores a 0.3.4

Descrição O pacote is-arrayish foi comprometido por meio de um ataque de phishing em uma conta de publicação npm. A versão 0.3.3 foi publicada com um payload de malware projetado para redirecionar transações de criptomoedas em ambientes de navegador, visando especificamente carteiras de criptomoedas como a MetaMask. Ambientes locais, de servidor e de linha de comando não são afetados. O pacote malicioso foi removido do registro npm em 8 de setembro, e novas versões de patch foram publicadas em 13 de setembro para auxiliar na invalidação de cache.

Recomendações Atualize para a versão 0.3.4 ou posterior. Remova completamente o diretório node modules. Limpe o cache global do gerenciador de pacotes. Reconstrua quaisquer bundles do navegador do zero. Elimine as versões comprometidas de quaisquer caches operando em registros privados ou espelhos de registro.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-506

Identificadores relacionados

CVE-2025-59331

GHSA-FRH7-2F84-V9MW

GHSA-HFM8-9JRF-7G9W

MAL-2025-46977

Produtos afetados

Is-Arrayish

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/59xxx/CVE-2025-59331.json · Exploit
• https://github.com/debug-js/debug/issues/1005 · Nota
• https://github.com/github/advisory-database/issues/6099 · Nota
• https://github.com/Qix-/node-is-arrayish/security/advisories/GHSA-frh7-2f84-v9mw · Nota
• https://github.com/Qix-/node-is-arrayish · Nota
• https://osv.dev/vulnerability/GHSA-frh7-2f84-v9mw · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1967674562214068504 · Publicação no Twitter
• https://ox.security/blog/npm-packages-compromised · Nota
• https://github.com/advisories/GHSA-hfm8-9jrf-7g9w · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-59331 · Nota de Segurança
• https://osv.dev/vulnerability/MAL-2025-46977 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1969292004434583954 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-59331 · Aviso do Fabricante
• https://bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack · Nota
• https://aikido.dev/blog/npm-debug-and-chalk-packages-compromised · Nota