NPM组件 @0xme5war/apicli 等窃取主机敏感信息

【高危】NPM组件 @0xme5war/apicli 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 @0xme5war/apicli 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者的电报地址(botToken = "7699295118:AAF6pb7t718vjHWHwFQlZOastZQYHL8IVDE", chatId = "6567865682")。

MPS编号 MPS-9fkz-lir2
处置建议 强烈建议修复
发现时间 2025-07-30
投毒仓库 npm
投毒类型 主机信息收集
利用成本
利用可能性

影响范围

影响组件 受影响的版本 最小修复版本
request-guard [1.2.1, 1.2.1] -
jquery.ui.mouse.js [1.0.0, 1.0.0] -
7702-eoa-implementation [1.0.0, 1.0.3] -
wax-baileys [1.10.1, 1.10.1] -
airpr-honeybadger [1.12.5, 1.12.5] -
external-pkg [16.0.0, 16.0.0] -
credit-card-input [1.0.0, 1.0.0] -
internal-pkg [16.0.0, 16.0.0] -
hw-transport-node-hid [9.1.1, 9.1.1] -
mpesa-ui-components [1.5.0, 1.5.2] -
react-native-gainsight-px [1.5.2, 1.12.5] -
jquery.ui.widget.js [1.0.0, 1.0.0] -
library-with-exports [16.0.0, 16.0.0] -
react-context-stylizer [1.0.1, 1.0.1] -
reference-library [16.0.0, 16.0.0] -
ai-cli [1.0.0, 1.0.1] -
react-router-purify [1.0.1, 1.0.1] -
stormondemand [0.0.3, 7.7.8] -
build-angular [0.0.1, 99.1.1] -
@0xme5war/apicli [1.0.0, 2.0.0] -
docusaurus-theme [0.2.0, 0.2.0] -
turborepo-examples [16.0.0, 16.0.0] -
weavejs-frontend [1.0.3, 1.0.3] -
deno-r4-basic [1.1.0, 1.1.0] -
bridge-emulator [16.0.0, 16.0.0] -
astro-benchmark [1.4.0, 1.4.0] -
blanl-pkg [16.0.0, 16.0.0] -

参考链接

https://www.oscs1024.com/hd/MPS-9fkz-lir2

安全处理建议

  1. 排查是否安装了受影响的包:
    使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
  2. 立即移除受影响包:
    若已安装列表中的恶意包,立即执行 npm uninstall <包名>,并删除node_modules和package-lock.json后重新安装依赖。
  3. 全面检查系统安全:
    运行杀毒软件扫描,检查是否有异常进程、网络连接(重点关注境外 IP 通信),排查环境变量、配置文件是否被窃取(如数据库密码、API 密钥等),必要时重置敏感凭证。
  4. 加强依赖管理规范:
  • 仅从官方 NPM 源安装组件,避免使用第三方镜像或未知来源的包。
  • 使用npm audit、yarn audit定期检查依赖漏洞。
  • 限制package.json中依赖的版本范围(如避免*或latest),优先选择下载量高、社区活跃的成熟组件。
  • 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务,可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址:https://www.murphysec.com/adv?code=ULQQ

提交漏洞情报:https://www.murphysec.com/bounty

关于本次投毒的分析

  • 包名:@0xme5war/apicli@[1.0.0,2.0.0]

    攻击目标:安装该包的开发者/项目

    理由:恶意包可能模仿API客户端工具,安装后窃取主机信息发送至攻击者电报地址。

  • 包名:react-native-gainsight-px@[1.5.2,1.12.5]

    攻击目标:React Native应用开发者

    理由:React Native相关包,可能针对移动应用开发环境收集敏感主机信息。

  • 包名:hw-transport-node-hid@[9.1.1,9.1.1]

    攻击目标:硬件交互项目(如设备管理工具)

    理由:HID传输库常用于硬件通信,可能窃取设备连接的主机敏感信息。

相关推荐
你的人类朋友2 小时前
【Node】Node.js 多进程与多线程:Cluster 与 Worker Threads 入门
前端·后端·node.js
闲人编程2 小时前
使用Celery处理Python Web应用中的异步任务
开发语言·前端·python·web·异步·celery
excel2 小时前
前端读取文件夹并通过 SSH 上传:完整实现方案 ✅
前端
谢尔登2 小时前
【Nest】日志记录
javascript·中间件·node.js
双向332 小时前
【征文计划】基于Rokid CXR-M SDK 打造AI 实时会议助手:从连接到自定义界面的完整实践
前端
Lei活在当下2 小时前
【业务场景架构实战】6. 从业务痛点到通用能力:Android 优先级分页加载器设计
前端·后端·架构
你的人类朋友3 小时前
什么是基础设施中间件
前端·后端
知识分享小能手3 小时前
微信小程序入门学习教程,从入门到精通,WXML(WeiXin Markup Language)语法基础(8)
前端·学习·react.js·微信小程序·小程序·vue·个人开发
海绵宝龙3 小时前
将若依(RuoYi)项目创建为私有Gitee仓库的完整步骤
前端·gitee
ps_xiaowang5 小时前
React Query入门指南:简化React应用中的数据获取
前端·其他·react native·react.js