CVE-2025-59143

color, bir Javascript renk dönüştürme ve manipülasyon kütüphanesidir. 8 Eylül 2025 tarihinde, color için kullanılan npm yayınlama hesabı bir kimlik avı saldırısı sonrası ele geçirilmiştir. Önceki yama sürümüyle işlevsel olarak aynı olan ancak tarayıcı ortamları içerisinden kripto para işlemlerini saldırganın kendi adreslerine yönlendirmeye çalışan bir kötü amaçlı yazılım yükü eklenmiş olan 5.0.1 sürümü yayınlanmıştır. Yerel ortamlar, sunucu ortamları, komut satırı uygulamaları vb. etkilenmemiştir. Paket bir tarayıcı bağlamında kullanıldıysa (örneğin doğrudan <script> dahil etmesi veya Babel, Rollup, Vite, Next.js gibi bir paketleme aracı aracılığıyla), kötü amaçlı yazılımın hala mevcut olma ihtimali vardır ve bu tür paketlerin yeniden oluşturulması gerekecektir. Kötü amaçlı yazılım görünüşe göre yalnızca kripto para işlemlerini ve MetaMask gibi cüzdanları hedeflemektedir. npm, söz konusu paketi 8 Eylül günü boyunca kayıt defterinden kaldırarak npm üzerinden daha fazla indirme yapılmasını engellemiştir. 13 Eylül'de paket sahibi, özel kayıt defterleri kullanan veleetilmiş sürümün önbelleğinde kalmış olabileceği kullanıcıların önbelleğini temizlemelerine yardımcı olmak için yeni yama sürümleri yayınlamıştır. Kullanıcılar en son yama sürümüne güncellemeli, node_modules dizinlerini tamamen kaldırmalı, paket yöneticilerinin küresel önbelleğini temizlemeli ve tüm tarayıcı paketlerini sıfırdan yeniden oluşturmalıdır. Özel kayıt defterleri veya kayıt defteri aynaları işletenler, sorunlu sürümleri tüm önbelleklerden temizlemelidir. Bu sorun 5.0.2 sürümünde çözülmüştür.