CVE-2025-59141

simple-swizzle funksiya arqumentlərini dəyişdirir. 8 sentyabr 2025-ci il tarixində fişinq hücumu nəticəsində simple-swizzle üçün npm nəşr hesabı ələ keçirilmişdir. Əvvəlki yam versiyası ilə funksional olaraq eyni olan, lakin brauzer mühitləri daxilindən kriptovalyuta tranzaksiyalarını hücumçunun öz ünvanlarına yönləndirməyə çalışan zərərli proqram yükləməsi əlavə edilmiş 0.2.3 versiyası dərc edilmişdir. Lokal mühitlər, server mühitləri, komanda sətri tətbiqləri və s. təsirlənməmişdir. Paket brauzer kontekstində istifadə edildikdə (məsələn, birbaşa <script> daxiletməsi və ya Babel, Rollup, Vite, Next.js kimi paketləmə alətləri vasitəsilə), zərərli proqramın hələ də mövcud olma ehtimalı var və belə paketlərin yenidən qurulması tələb olunacaqdır. Zərərli proqram görünür ki, yalnız kriptovalyuta tranzaksiyalarını və MetaMask kimi pul kisələrini hədəf alır. npm 8 sentyabr günü ərzində həmin paketi reyestrdən silərək npm-dən daha çox yüklənmənin qarşısını almışdır. 13 sentyabrda paket sahibi, şəxsi reyestrlərdən istifadə edənlərin keşində hələ də kompromisə uğramış versiya ola biləcəyi üçün keşi təmizləməyə kömək etmək məqsədilə yeni yam versiyaları dərc etmişdir. İstifadəçilər ən son yam versiyasına yeniləməli, node_modules kataloqunu tamamilə silməli, paket menecerinin qlobal keşini təmizləməli və bütün brauzer paketlərini sıfırdan yenidən qurmalıdırlar. Şəxsi reyestrləri və ya reyestr güzgülərini idarə edənlər zərərli versiyaları bütün keşlərdən təmizləməlidirlər. Bu problem 0.2.4 versiyasında həll edilmişdir.