NPM组件包 json-cookie-csv 等窃取主机敏感信息

【高危】NPM组件包 json-cookie-csv 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 json-cookie-csv 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

MPS编号MPS-xo1f-4kue
处置建议强烈建议修复
发现时间2025-07-06
投毒仓库npm
投毒类型主机信息收集
利用成本
利用可能性

影响范围

影响组件受影响的版本最小修复版本
token-renewal[55.3.1, 55.3.1]-
graphql-commons[1.0.0, 40.0.7]-
canonical-bridge-ui[1.0.0, 1.0.1]-
chia-dev-guides[1.1.1, 1.1.3]-
web-app-express[55.3.1, 55.3.1]-
pp-react-utils[1.0.0, 1.0.6]-
internal-utils[1.0.0, 1.0.3]-
iwf-typescript-sdk[1.0.0, 1.0.1]-
open-source-catalog[1.0.2, 1.0.3]-
protobufjs-protify-example[55.3.1, 55.3.1]-
js-prettier[3.3.4, 3.3.5]-
json-cookie-csv[1.0.0, 1.0.1]-
glean-mcp-server[1.0.0, 1.0.1]-
notificationsandbox[1.0.0, 1.0.1]-
cra-react-router[55.3.1, 55.3.1]-
consgraphql[40.0.10, 40.0.10]-
bazel-kotlin[9.9.9, 9.9.9]-
calling-an-api[55.3.1, 55.3.1]-
mttdocs[1.0.0, 1.0.1]-
consgraphqlnodeserv[1.0.0, 1.0.6]-
eth-multisig-v4[1.0.0, 1.0.1]-
kiwi-module-search[1.0.0, 3.1.2]-
auth0-styleguide-website[55.3.1, 55.3.1]-
nonsensetest[1.0.0, 1.0.1]-
print-vault-node[1.0.0, 1.0.1]-
cmc-core[1.0.0, 29.99.99]-

参考链接

https://www.oscs1024.com/hd/MPS-xo1f-4kue

安全处理建议

  1. 排查是否安装了受影响的包:
    使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
  2. 立即移除受影响包:
    若已安装列表中的恶意包,立即执行 npm uninstall <包名>,并删除node_modules和package-lock.json后重新安装依赖。
  3. 全面检查系统安全:
    运行杀毒软件扫描,检查是否有异常进程、网络连接(重点关注境外 IP 通信),排查环境变量、配置文件是否被窃取(如数据库密码、API 密钥等),必要时重置敏感凭证。
  4. 加强依赖管理规范:
  • 仅从官方 NPM 源安装组件,避免使用第三方镜像或未知来源的包。
  • 使用npm audit、yarn audit定期检查依赖漏洞。
  • 限制package.json中依赖的版本范围(如避免*或latest),优先选择下载量高、社区活跃的成熟组件。
  • 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险(申请免费使用)

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务,可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址:https://www.murphysec.com/apply?code=OSUK

提交漏洞情报:https://www.murphysec.com/bounty

关于本次投毒的分析

  • 包名:json-cookie-csv@[1.0.0,1.0.1]
    攻击目标:安装该包的项目/开发者主机
    理由:安装后窃取主机名、用户名、IP等敏感信息并发送至攻击者服务器,直接针对使用此包的环境。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值