CVE-2025-59140

backslash toplanmış sətirləri escape simvolları ilə analiz edir. 8 sentyabr 2025-ci il tarixində fişinq hücumu nəticəsində backslash üçün npm nəşr hesabı ələ keçirilmişdir. Əvvəlki yam versiyası ilə funksional baxımdan eyni olan, lakin brauzer mühitləri daxilindən kriptovalyuta tranzaksiyalarını hücumçunun öz ünvanlarına yönləndirməyə çalışan zərərli proqram yükləməsi əlavə edilmiş 0.2.1 versiyası dərc edilmişdir. Lokal mühitlər, server mühitləri, komanda sətri tətbiqləri və s. təsirlənməmişdir. Paket brauzer kontekstində istifadə edilmişdirsə (məsələn, birbaşa <script> daxiletməsi və ya Babel, Rollup, Vite, Next.js kimi paketləmə alətləri vasitəsilə), zərərli proqramın hələ də mövcud olma ehtimalı var və belə paketlər yenidən qurulmalıdır. Zərərli proqram görünür ki, yalnız kriptovalyuta tranzaksiyalarını və MetaMask kimi pul kisələrini hədəf alır. npm 8 sentyabr günü ərzində həmin paketi reyestrdən silərək npm-dən daha çox yüklənmənin qarşısını almışdır. 13 sentyabrda paket sahibi, şəxsi reyestrlərdən istifadə edənlərin keşində hələ də kompromisə uğramış versiya ola biləcəyi üçün onları təmizləməyə kömək etmək məqsədilə yeni yam versiyaları dərc etmişdir. İstifadəçilər ən son yam versiyasına yüksəltmə etməli, node_modules kataloqunu tamamilə silməli, paket menecerinin qlobal keşini təmizləməli və bütün brauzer paketlərini sıfırdan yenidən qurmalıdırlar. Şəxsi reyestrləri və ya reyestr güzgülərini idarə edənlər zərərli versiyaları bütün keşlərdən təmizləməlidirlər. Bu problem 0.2.2 versiyasında həll edilmişdir.