CVE-2025-59145

color-name, CSS renk isimlerini içeren bir JSON dosyasıdır. 8 Eylül 2025 tarihinde, bir oltalama saldırısının ardından color-name için kullanılan bir npm yayınlama hesabı ele geçirilmiştir. Önceki yama sürümüyle işlevsel olarak aynı olan ancak tarayıcı ortamları içerisinden kripto para işlemlerini saldırganın kendi adreslerine yönlendirmeye çalışan kötü amaçlı bir yazılım yükü eklenmiş olan 2.0.1 sürümü yayınlanmıştır. Yerel ortamlar, sunucu ortamları, komut satırı uygulamaları vb. etkilenmemiştir. Paket bir tarayıcı bağlamında kullanıldıysa (örneğin doğrudan <script> dahil etmesi veya Babel, Rollup, Vite, Next.js gibi bir paketleme aracı aracılığıyla), kötü amaçlı yazılımın hala mevcut olma ihtimali vardır ve bu tür paketlerin yeniden oluşturulması gerekecektir. Kötü amaçlı yazılım görünüşe göre yalnızca kripto para işlemlerini ve MetaMask gibi cüzdanları hedeflemektedir. Yazılım yükü hakkında daha fazla bilgi için aşağıdaki referanslara bakınız. npm, söz konusu paketi 8 Eylül günü boyunca kayıt defterinden kaldırarak npm üzerinden yapılacak yeni indirmeleri engellemiştir. 13 Eylül'de paket sahibi, özel kayıt defterleri kullanan veleetilmiş sürümün önbelleğinde kalmış olabileceği kullanıcıların önbelleğini temizlemelerine yardımcı olmak amacıyla yeni yama sürümleri yayınlamıştır. Kullanıcılar en son yama sürümüne güncellemeli, node_modules dizinini tamamen silmeli, paket yöneticilerinin küresel önbelleğini temizlemeli ve tüm tarayıcı paketlerini sıfırdan yeniden oluşturmalıdır. Özel kayıt defterleri veya kayıt defteri aynaları işletenler, sorunlu sürümleri tüm önbelleklerden temizlemelidir. Bu sorun 2.0.2 sürümünde çözülmüştür.