NPM组件 alan-baileys 等窃取主机敏感信息

【高危】NPM组件 alan-baileys 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 alan-baileys 组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

MPS编号 MPS-wkyd-5v7r
处置建议 强烈建议修复
发现时间 2025-07-02
投毒仓库 npm
投毒类型 主机信息收集
利用成本
利用可能性

影响范围

影响组件 受影响的版本 最小修复版本
logflow-json [2.4.12, 2.4.12] -
bl2-js-report [1.0.0, 1.1.3] -
taskrouter-event-listener [1.0.0, 1.0.0] -
twilio-webchat-widget [1.0.0, 1.0.0] -
sudai [1.0.0, 1.0.0] -
airbnb-rootkit-wow [1.0.0, 1.0.1] -
ipmi-command [1.0.0, 1.0.0] -
n8n-nodes-social [0.1.0, 1.0.0] -
cameoconfig [1.0.0, 7.7.7] -
patient-appointment-management [1.0.0, 1.0.0] -
telehealth [1.0.0, 1.0.0] -
alan-baileys [1.0.1, 1.0.1] -
octo-translations [7.7.7, 7.7.7] -
wp-stream [1.0.0, 1.0.0] -
draw-with-twilio [1.0.0, 1.0.0] -
com.razer.chromasdk [3.0.0, 4.0.0] -
azure-sentinel [1.0.0, 1.0.0] -
json-log-stream [0.1.0, 1.0.12] -
plugin-notes [1.0.0, 1.0.0] -
karakeep [1.0.0, 1.0.0] -
fivetran-webhook-example-express [7.7.7, 7.7.7] -

参考链接

https://www.oscs1024.com/hd/MPS-wkyd-5v7r

安全处理建议

  1. 排查是否安装了受影响的包:
    使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
  2. 立即移除受影响包:
    若已安装列表中的恶意包,立即执行 npm uninstall <包名>,并删除node_modules和package-lock.json后重新安装依赖。
  3. 全面检查系统安全:
    运行杀毒软件扫描,检查是否有异常进程、网络连接(重点关注境外 IP 通信),排查环境变量、配置文件是否被窃取(如数据库密码、API 密钥等),必要时重置敏感凭证。
  4. 加强依赖管理规范:
  • 仅从官方 NPM 源安装组件,避免使用第三方镜像或未知来源的包。
  • 使用npm audit、yarn audit定期检查依赖漏洞。
  • 限制package.json中依赖的版本范围(如避免*或latest),优先选择下载量高、社区活跃的成熟组件。
  • 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险(申请免费使用)

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务,可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址:https://www.murphysec.com/apply?code=OSUK

提交漏洞情报:https://www.murphysec.com/bounty

关于本次投毒的分析

  • 包名:alan-baileys@1.0.1

    攻击目标:Baileys相关聊天应用

    理由:名称含"baileys",可能伪装成WhatsApp API库Baileys的依赖,窃取用户信息。

  • 包名:logflow-json@2.4.12

    攻击目标:日志处理应用

    理由:名称含"logflow",推测用于日志流处理,影响依赖日志功能的项目。

  • 包名:twilio-webchat-widget@1.0.0

    攻击目标:Twilio WebChat集成应用

    理由:包名直接关联Twilio WebChat组件,定向影响集成该功能的应用。

  • 包名:n8n-nodes-social@[0.1.0,1.0.0]

    攻击目标:n8n工作流用户

    理由:作为n8n社交节点插件,目标是使用该节点进行社交集成的n8n用户。

  • 包名:azure-sentinel@1.0.0

    攻击目标:Azure Sentinel集成项目

    理由:包名关联微软云安全工具Azure Sentinel,影响其相关集成项目。

  • 包名:com.razer.chromasdk@[3.0.0,4.0.0]

    攻击目标:Razer Chroma SDK用户

    理由:针对Razer设备灯光控制SDK,影响使用该SDK的游戏或应用开发者。

  • 包名:octo-translations@7.7.7

    攻击目标:GitHub相关翻译项目

    理由:"octo"可能关联GitHub,伪装翻译包,窃取使用该翻译功能的项目信息。

  • 包名:wp-stream@1.0.0

    攻击目标:WordPress stream功能项目

    理由:"wp"指向WordPress,目标是使用stream功能的WordPress插件或应用。

相关推荐
新元代码14 分钟前
Node.js 完全安装与使用指南:Windows 平台详细教程
windows·node.js
四月_h18 分钟前
vue2动态实现多Y轴echarts图表,及节点点击事件
前端·javascript·vue.js·echarts
文心快码BaiduComate41 分钟前
用Zulu轻松搭建国庆旅行4行诗网站
前端·javascript·后端
行者..................2 小时前
手动编译 OpenCV 4.1.0 源码,生成 ARM64 动态库 (.so),然后在 Petalinux 中打包使用。
前端·webpack·node.js
小爱同学_3 小时前
一次面试让我重新认识了 Cursor
前端·面试·程序员
golang学习记3 小时前
AI 乱写代码?不是模型不行,而是你的 VS Code 缺了 Context!MCP 才是破局关键
前端
星光不问赶路人3 小时前
Vite 中的 import.meta.glob vs 动态导入:该用哪个?
前端·vite
z_y_j2299704383 小时前
服务器中使用Docker部署前端项目
服务器·前端·docker·容器
迪丽热爱4 小时前
解决【npm : 无法加载文件 C:\Program Files\nodejs\npm.ps1,因为在此系统上禁止运行脚本。】问题
前端·npm·node.js
数字冰雹4 小时前
图观 流渲染场景服务器
服务器·前端·数据库·数据可视化