CVE-2025-59162

color-convert, JavaScript dilinde basit renk dönüştürme fonksiyonları sağlar. 8 Eylül 2025 tarihinde, bir kimlik avı saldırısının ardından color-convert için kullanılan npm yayınlama hesabı ele geçirilmiştir. Önceki yama sürümüyle işlevsel olarak aynı olan ancak tarayıcı ortamlarından kripto para işlemlerini saldırganın kendi adreslerine yönlendirmeye çalışan bir kötü amaçlı yazılım yükü eklenmiş olan 3.1.1 sürümü yayınlanmıştır. Yerel ortamlar, sunucu ortamları, komut satırı uygulamaları vb. etkilenmemiştir. Paket bir tarayıcı bağlamında kullanıldıysa (örneğin doğrudan <script> dahil etmesi veya Babel, Rollup, Vite, Next.js gibi bir paketleme aracı aracılığıyla), kötü amaçlı yazılımın hala mevcut olma ihtimali vardır ve bu tür paketlerin yeniden oluşturulması gerekecektir. Kötü amaçlı yazılım görünüşe göre yalnızca kripto para işlemlerini ve MetaMask gibi cüzdanları hedeflemektedir. npm, söz konusu paketi 8 Eylül günü boyunca kayıt defterinden kaldırarak npm üzerinden daha fazla indirme yapılmasını engellemiştir. 13 Eylül'de paket sahibi, özel kayıt defterleri kullanan ve tehlikeye girmiş sürüm hala önbelleğe alınmış olabilecek kullanıcıların önbelleğini temizlemelerine yardımcı olmak için yeni yama sürümleri yayınlamıştır. Kullanıcılar en son yama sürümüne güncellemeli, node_modules dizinlerini tamamen kaldırmalı, paket yöneticilerinin küresel önbelleğini temizlemeli ve tüm tarayıcı paketlerini sıfırdan yeniden oluşturmalıdır. Özel kayıt defterleri veya kayıt defteri aynaları işletenler, sorunlu sürümleri tüm önbelleklerden temizlemelidir. Bu sorun 3.1.2 sürümünde çözülmüştür.