CVE-2025-59331

is-arrayish, bir nesnenin Dizi gibi kullanılıp kullanılamayacağını kontrol eder. 8 Eylül 2025 tarihinde, is-arrayish için kullanılan bir npm yayınlama hesabı, bir kimlik avı saldırısının ardından ele geçirilmiştir. Önceki yama sürümüyle işlevsel olarak aynı olan ancak tarayıcı ortamları içerisinden kripto para işlemlerini saldırganın kendi adreslerine yönlendirmeye çalışan kötü amaçlı bir yazılım yükü eklenmiş olan 0.3.3 sürümü yayınlanmıştır. Yerel ortamlar, sunucu ortamları, komut satırı uygulamaları vb. etkilenmemiştir. Paket bir tarayıcı bağlamında kullanıldıysa (örneğin doğrudan <script> dahil etmesi veya Babel, Rollup, Vite, Next.js vb. gibi bir paketleme aracı aracılığıyla), kötü amaçlı yazılımın hala mevcut olma ihtimali vardır ve bu tür paketlerin yeniden oluşturulması gerekecektir. Kötü amaçlı yazılım görünüşe göre yalnızca kripto para işlemlerini ve MetaMask gibi cüzdanları hedeflemektedir. Yazılım yükü hakkında daha fazla bilgi için aşağıdaki referanslara bakınız. npm, söz konusu paketi 8 Eylül günü boyunca kayıt defterinden kaldırarak npm üzerinden yapılacak yeni indirmeleri engellemiştir. 13 Eylül'de paket sahibi, özel kayıt defterleri kullanan ve tehlikeye girmiş sürüm hala önbelleğe alınmış olabilecek kullanıcıların önbelleğini temizlemelerine yardımcı olmak için yeni yama sürümleri yayınlamıştır. Kullanıcılar en son yama sürümüne güncellemeli, node_modules dizinlerini tamamen kaldırmalı, paket yöneticilerinin küresel önbelleğini temizlemeli ve tüm tarayıcı paketlerini sıfırdan yeniden oluşturmalıdır. Özel kayıt defterleri veya kayıt defteri aynaları işletenler, sorunlu sürümleri tüm önbelleklerden temizlemelidir. Bu sorun 0.3.4 sürümünde çözülmüştür.