CVE-2026-48158

use-context-selector, kullanıcı alanındaki bir React useContextSelector kancasıdır. 2026-05-18 15:57:18 ile 2026-05-19 15:24:34 tarihleri arasında varsayılan dal, `npm install` sırasında geliştirici makinelerinde uzaktan saldırgan kontrollü kod çalıştıran 9d8481a513b7b0d1c0941b220c69b25de748641b ile 6f2dae054ca014068bdbbb4db96006424d674124 arasındaki kötü amaçlı commit'leri içeriyordu. Commit'ler force-push ile kaldırılmıştır ancak yerel klonlar, fork'lar ve doğrudan SHA URL'leri bunları hâlâ içerebilir ve etkilenen bir check-out üzerinde yapılacak `npm install` işlemi bugün bile kodu çalıştırmaya devam edecektir. Paket npm'e yayınlanmamıştır. `src/install.js` dosyası eklenmiş ve `postinstall` betiğine bağlanmıştır. Bu dosya, saldırgan kontrollü bir HTTPS uç noktasından (bir ortam değişkeni aracılığıyla yapılandırılabilir) bir JavaScript yükü çekmiş, TLS doğrulamasını devre dışı bırakmış ve yanıtı `require` erişilebilir şekilde kod olarak değerlendirmiştir. Çalıştırma işlemi; CI ve bulut/sunucusuz ortamlarda kasıtlı olarak atlanmış, hedef olarak geliştirici iş istasyonları seçilmiştir. İkinci aşama yükü saldırgan tarafından barındırılmaktaydı ve yeniden oluşturulamaz. Kullanıcı izinlerine sahip bir Node sürecinden erişilebilen her şeyin tamamen ele geçirildiği varsayılmalıdır. Bir geliştirici makinesinde 2026-05-18 15:57:18 tarihinde veya sonrasında etkilenen bir check-out üzerinde `npm install` komutunu çalıştıranlar, makineyi ele geçirilmiş olarak kabul etmeli, makinenin erişebileceği tüm kimlik bilgilerini yenilemeli, 2026-05-18 15:57:18 tarihinden itibaren hesap etkinliklerini denetlemeli ve yerel klonları temizlemelidir.