CVE-2025-59331

is-arrayish obyektin Massiv kimi istifadə oluna biləcəyini yoxlayır. 2025-ci il sentyabrın 8-də fişinq hücumundan sonra is-arrayish üçün olan npm nəşr hesabı ələ keçirilib. Əvvəlki yam versiyası ilə funksional baxımdan eyni olan, lakin brauzer mühitləri daxilindən kriptovalyuta tranzaksiyalarını hücumçunun öz ünvanlarına yönləndirməyə çalışan zərərli proqram yükləməsi əlavə edilmiş 0.3.3 versiyası dərc edilib. Lokal mühitlər, server mühitləri, komanda sətri tətbiqləri və s. buna təsir etmir. Paket brauzer kontekstində istifadə edildikdə (məsələn, birbaşa <script> daxiletməsi və ya Babel, Rollup, Vite, Next.js və s. kimi paketləmə alətləri vasitəsilə), zərərli proqramın hələ də mövcud olma ehtimalı var və belə paketlər yenidən qurulmalıdır. Zərərli proqram görünür ki, yalnız kriptovalyuta tranzaksiyalarını və MetaMask kimi pul kisələrini hədəf alır. Yükləmə haqqında daha çox məlumat üçün aşağıdakı istinadlara baxın. npm 8 sentyabr günü ərzində həmin paketi reyestrdən silərək onun npm-dən daha çox yüklənməsinin qarşısını almışdır. Sentyabrın 13-də paket sahibi, şəxsi reyestrlərdən istifadə edənlərin keşində hələ də kompromisə uğramış versiya ola biləcəyi üçün onları təmizləməyə kömək edəcək yeni yam versiyaları dərc etmişdir. İstifadəçilər ən son yam versiyasına yeniləməli, node_modules kataloqunu tamamilə silməli, paket menecerinin qlobal keşini təmizləməli və bütün brauzer paketlərini sıfırdan yenidən qurmalıdırlar. Şəxsi reyestrləri və ya reyestr güzgülərini idarə edənlər zərərli versiyaları bütün keşlərdən təmizləməlidirlər. Bu problem 0.3.4 versiyasında həll edilmişdir.