CVE-2026-48158

use-context-selector istifadəçi tərəfində olan bir React useContextSelector hook-udur. 2026-05-18 15:57:18 və 2026-05-19 15:24:34 tarixləri arasında default budaqda `npm install` zamanı tərtibatçı maşınlarında uzaqdakı hücumçu tərəfindən idarə olunan kodun icrasını həyata keçirən zərərli commit-lər (9d8481a513b7b0d1c0941b220c69b25de748641b-dən 6f2dae054ca014068bdbbb4db96006424d674124-ə qədər) mövcud idi. Commit-lər force-push vasitəsilə silinib, lakin lokal klonlar, fork-lar və birbaşa SHA URL-ləri hələ də onları ehtiva edə bilər və təsirlənmiş checkout üzərində `npm install` əmrinin icrası bu gün də kodu işə salacaqdır. Paket npm-də dərc edilməmişdir. `src/install.js` faylı əlavə edilmiş və `postinstall` skriptinə inteqrasiya olunmuşdur. Bu fayl hücumçu tərəfindən idarə olunan HTTPS son nöqtəsindən (environment variable vasitəsilə konfiqurasiya edilə bilən) JavaScript payload-u götürür, TLS yoxlamasını deaktiv edir və cavabı `require` ilə əlçatan olan kod kimi qiymətləndirirdi. İcra prosesi CI və bulud/serverless mühitlərində qəsdən ötürülmüş, yalnız tərtibatçı iş stansiyaları hədəflənmişdir. İkinci mərhələnin payload-u hücumçunun hostunda yerləşirdi və onu bərpa etmək mümkün deyil. İstifadəçinin icazələrinə malik Node prosesindən əlçatan olan hər şeyin tamamilə kompromisə uğradığı fərz edilməlidir. 2026-05-18 15:57:18 tarixində və ya ondan sonra tərtibatçı maşınında təsirlənmiş checkout üzərində `npm install` əmrini icra edənlər maşını kompromisə uğramış hesab etməli, maşının əlaqə qura bildiyi bütün etibarnamələri yeniləməli, 2026-05-18 15:57:18 tarixindən bəri hesab aktivliyini audit etməli və lokal klonları təmizləməlidirlər.