CVE-2026-48160

react-tracked, Proxies ile durum kullanım takibi sağlar. 2026-05-18 19:26:36 ile 2026-05-19 15:22:45 arasında, varsayılan dal `npm install` sırasında geliştirici makinelerinde uzaktan saldırgan tarafından kontrol edilen kod çalıştıran 6978272a7d6ca02225cb747ea69f427512e33699 ile 949f1a3d6bb1ff7d1a0dec892afd773e742627e8 arasındaki kötü niyetli commit'leri içeriyordu. Commit'ler force-push ile kaldırıldı, ancak yerel klonlar, fork'lar ve doğrudan SHA URL'leri bunları hâlâ içerebilir ve etkilenen bir checkout'a karşı `npm install` çalıştırılması bugün bile kodu çalıştıracaktır. Paket npm'e yayımlanmadı. `src/install.js` eklendi ve `postinstall` betiğine bağlandı. Bir ortam değişkeni aracılığıyla yapılandırılabilen saldırgan tarafından kontrol edilen bir HTTPS uç noktasından bir JavaScript yükü indiriyor, TLS doğrulamasını devre dışı bırakıyor ve yanıtı `require` kullanılabilir durumdayken kod olarak değerlendiriyordu. Çalıştırma, CI ve bulut/sunucusuz ortamlarda kasıtlı olarak atlanarak geliştirici iş istasyonları hedefleniyordu. İkinci aşama yükü saldırgan tarafından barındırılıyordu ve yeniden oluşturulamaz. Kullanıcının izinleriyle bir Node sürecinden erişilebilen her şeyin tamamen ele geçirildiğini varsayın. 2026-05-18 19:26:36 tarihinde veya sonrasında bir geliştirici makinesinde etkilenen bir checkout'a karşı `npm install` çalıştıranlar, makineyi ele geçirilmiş olarak değerlendirmeli, makinenin erişebildiği her kimlik bilgisini değiştirmeli, 2026-05-18 19:26:36 tarihinden itibaren hesap etkinliğini denetlemeli ve yerel klonları temizlemelidir.