CVE-2026-48159

use-reducer-async, asinxron hərəkətlərə malik bir React useReducer kitabxanasıdır. 2026-05-18 16:29:52 və 2026-05-19 15:26:07 tarixləri arasında default budaqda, `npm install` zamanı tərtibatçı maşınlarında uzaqdakı hücumçu tərəfindən idarə olunan kodun icrasını həyata keçirən da72edbde5705efcec6c62e0a3dcb73687b78dc8-dən df07d5711458d8b46e11dd7afaaa21e88cafabfb-ə qədər zərərli commit-lər mövcud idi. Commit-lər force-push vasitəsilə silinib, lakin lokal klonlar, fork-lar və birbaşa SHA URL-ləri onları hələ də ehtiva edə bilər və təsirə məruz qalmış checkout üzərində `npm install` əmrinin icrası bu gün də kodu işə salacaqdır. Paket npm-də dərc edilməmişdir. `src/install.js` faylı əlavə edilmiş və `postinstall` skriptinə inteqrasiya olunmuşdur. Bu fayl, hücumçu tərəfindən idarə olunan HTTPS son nöqtəsindən (mühit dəyişəni vasitəsilə konfiqurasiya edilə bilən) JavaScript payload-u götürür, TLS yoxlamasını deaktiv edir və cavabı `require` funksiyası ilə əlçatan olan kod kimi qiymətləndirirdi. İcra prosesi CI və bulud/serverless mühitlərində qəsdən ötürülmüş, yalnız tərtibatçı iş stansiyaları hədəflənmişdir. İkinci mərhələnin payload-u hücumçunun hostunda yerləşirdi və onu bərpa etmək mümkün deyil. İstifadəçi icazələrinə malik Node prosesindən əlçatan olan hər şeyin tamamilə kompromisə uğradığı fərz edilməlidir. 2026-05-18 16:29:52 tarixində və ya ondan sonra tərtibatçı maşınında təsirə məruz qalmış checkout üzərində `npm install` əmrini icra edənlər maşını kompromisə uğramış hesab etməli, maşının əlaqə qura bildiyi bütün etibarnamələri yeniləməli, 2026-05-18 16:29:52 tarixindən bəri hesab aktivliyini audit etməli və lokal klonları təmizləməlidirlər.