NPM组件 alan-baileys 等窃取主机敏感信息

【高危】NPM组件 alan-baileys 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 alan-baileys 组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

MPS编号 MPS-wkyd-5v7r
处置建议 强烈建议修复
发现时间 2025-07-02
投毒仓库 npm
投毒类型 主机信息收集
利用成本
利用可能性

影响范围

影响组件 受影响的版本 最小修复版本
logflow-json [2.4.12, 2.4.12] -
bl2-js-report [1.0.0, 1.1.3] -
taskrouter-event-listener [1.0.0, 1.0.0] -
twilio-webchat-widget [1.0.0, 1.0.0] -
sudai [1.0.0, 1.0.0] -
airbnb-rootkit-wow [1.0.0, 1.0.1] -
ipmi-command [1.0.0, 1.0.0] -
n8n-nodes-social [0.1.0, 1.0.0] -
cameoconfig [1.0.0, 7.7.7] -
patient-appointment-management [1.0.0, 1.0.0] -
telehealth [1.0.0, 1.0.0] -
alan-baileys [1.0.1, 1.0.1] -
octo-translations [7.7.7, 7.7.7] -
wp-stream [1.0.0, 1.0.0] -
draw-with-twilio [1.0.0, 1.0.0] -
com.razer.chromasdk [3.0.0, 4.0.0] -
azure-sentinel [1.0.0, 1.0.0] -
json-log-stream [0.1.0, 1.0.12] -
plugin-notes [1.0.0, 1.0.0] -
karakeep [1.0.0, 1.0.0] -
fivetran-webhook-example-express [7.7.7, 7.7.7] -

参考链接

https://www.oscs1024.com/hd/MPS-wkyd-5v7r

安全处理建议

  1. 排查是否安装了受影响的包:
    使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
  2. 立即移除受影响包:
    若已安装列表中的恶意包,立即执行 npm uninstall <包名>,并删除node_modules和package-lock.json后重新安装依赖。
  3. 全面检查系统安全:
    运行杀毒软件扫描,检查是否有异常进程、网络连接(重点关注境外 IP 通信),排查环境变量、配置文件是否被窃取(如数据库密码、API 密钥等),必要时重置敏感凭证。
  4. 加强依赖管理规范:
  • 仅从官方 NPM 源安装组件,避免使用第三方镜像或未知来源的包。
  • 使用npm audit、yarn audit定期检查依赖漏洞。
  • 限制package.json中依赖的版本范围(如避免*或latest),优先选择下载量高、社区活跃的成熟组件。
  • 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险(申请免费使用)

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务,可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址:https://www.murphysec.com/apply?code=OSUK

提交漏洞情报:https://www.murphysec.com/bounty

关于本次投毒的分析

  • 包名:alan-baileys@1.0.1

    攻击目标:Baileys相关聊天应用

    理由:名称含"baileys",可能伪装成WhatsApp API库Baileys的依赖,窃取用户信息。

  • 包名:logflow-json@2.4.12

    攻击目标:日志处理应用

    理由:名称含"logflow",推测用于日志流处理,影响依赖日志功能的项目。

  • 包名:twilio-webchat-widget@1.0.0

    攻击目标:Twilio WebChat集成应用

    理由:包名直接关联Twilio WebChat组件,定向影响集成该功能的应用。

  • 包名:n8n-nodes-social@[0.1.0,1.0.0]

    攻击目标:n8n工作流用户

    理由:作为n8n社交节点插件,目标是使用该节点进行社交集成的n8n用户。

  • 包名:azure-sentinel@1.0.0

    攻击目标:Azure Sentinel集成项目

    理由:包名关联微软云安全工具Azure Sentinel,影响其相关集成项目。

  • 包名:com.razer.chromasdk@[3.0.0,4.0.0]

    攻击目标:Razer Chroma SDK用户

    理由:针对Razer设备灯光控制SDK,影响使用该SDK的游戏或应用开发者。

  • 包名:octo-translations@7.7.7

    攻击目标:GitHub相关翻译项目

    理由:"octo"可能关联GitHub,伪装翻译包,窃取使用该翻译功能的项目信息。

  • 包名:wp-stream@1.0.0

    攻击目标:WordPress stream功能项目

    理由:"wp"指向WordPress,目标是使用stream功能的WordPress插件或应用。

相关推荐
前端付豪21 分钟前
Vue3 响应式来!
前端·javascript·vue.js
芝士麻雀22 分钟前
Zustand 深度解析:原理、源码与最佳实践
前端·react.js·前端框架
fruge35 分钟前
前端性能优化实战指南:从首屏加载到用户体验的全面提升
前端·性能优化·ux
ZYMFZ42 分钟前
Redis主从复制与哨兵集群
前端·git·github
lumi.44 分钟前
前端本地存储技术笔记:localStorage 与 sessionStorage 详解
前端·javascript·笔记
旧雨散尘1 小时前
【react】初学react5-react脚手架搭建中的小众知识
前端·react.js·前端框架
炫饭第一名1 小时前
🌍🌍🌍字节一面场景题:异步任务调度器
前端·javascript·面试
烛阴1 小时前
Lua字符串的利刃:模式匹配的艺术与实践
前端·lua
奇舞精选1 小时前
一文了解 Server-Sent Events (SSE):构建高效的服务器推送应用
前端
Yeats_Liao1 小时前
Go Web 编程快速入门 11 - WebSocket实时通信:实时消息推送和双向通信
前端·后端·websocket·golang