NPM组件 @0xme5war/apicli 等窃取主机敏感信息

【高危】NPM组件 @0xme5war/apicli 等窃取主机敏感信息

漏洞描述

当用户安装受影响版本的 @0xme5war/apicli 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者的电报地址(botToken = "7699295118:AAF6pb7t718vjHWHwFQlZOastZQYHL8IVDE", chatId = "6567865682")。

MPS编号 MPS-9fkz-lir2
处置建议 强烈建议修复
发现时间 2025-07-30
投毒仓库 npm
投毒类型 主机信息收集
利用成本
利用可能性

影响范围

影响组件 受影响的版本 最小修复版本
request-guard [1.2.1, 1.2.1] -
jquery.ui.mouse.js [1.0.0, 1.0.0] -
7702-eoa-implementation [1.0.0, 1.0.3] -
wax-baileys [1.10.1, 1.10.1] -
airpr-honeybadger [1.12.5, 1.12.5] -
external-pkg [16.0.0, 16.0.0] -
credit-card-input [1.0.0, 1.0.0] -
internal-pkg [16.0.0, 16.0.0] -
hw-transport-node-hid [9.1.1, 9.1.1] -
mpesa-ui-components [1.5.0, 1.5.2] -
react-native-gainsight-px [1.5.2, 1.12.5] -
jquery.ui.widget.js [1.0.0, 1.0.0] -
library-with-exports [16.0.0, 16.0.0] -
react-context-stylizer [1.0.1, 1.0.1] -
reference-library [16.0.0, 16.0.0] -
ai-cli [1.0.0, 1.0.1] -
react-router-purify [1.0.1, 1.0.1] -
stormondemand [0.0.3, 7.7.8] -
build-angular [0.0.1, 99.1.1] -
@0xme5war/apicli [1.0.0, 2.0.0] -
docusaurus-theme [0.2.0, 0.2.0] -
turborepo-examples [16.0.0, 16.0.0] -
weavejs-frontend [1.0.3, 1.0.3] -
deno-r4-basic [1.1.0, 1.1.0] -
bridge-emulator [16.0.0, 16.0.0] -
astro-benchmark [1.4.0, 1.4.0] -
blanl-pkg [16.0.0, 16.0.0] -

参考链接

https://www.oscs1024.com/hd/MPS-9fkz-lir2

安全处理建议

  1. 排查是否安装了受影响的包:
    使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。
  2. 立即移除受影响包:
    若已安装列表中的恶意包,立即执行 npm uninstall <包名>,并删除node_modules和package-lock.json后重新安装依赖。
  3. 全面检查系统安全:
    运行杀毒软件扫描,检查是否有异常进程、网络连接(重点关注境外 IP 通信),排查环境变量、配置文件是否被窃取(如数据库密码、API 密钥等),必要时重置敏感凭证。
  4. 加强依赖管理规范:
  • 仅从官方 NPM 源安装组件,避免使用第三方镜像或未知来源的包。
  • 使用npm audit、yarn audit定期检查依赖漏洞。
  • 限制package.json中依赖的版本范围(如避免*或latest),优先选择下载量高、社区活跃的成熟组件。
  • 集成墨菲安全软件供应链安全平台等工具自动监控风险。

一键自动排查全公司此类风险

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务,可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址:https://www.murphysec.com/adv?code=ULQQ

提交漏洞情报:https://www.murphysec.com/bounty

关于本次投毒的分析

  • 包名:@0xme5war/apicli@[1.0.0,2.0.0]

    攻击目标:安装该包的开发者/项目

    理由:恶意包可能模仿API客户端工具,安装后窃取主机信息发送至攻击者电报地址。

  • 包名:react-native-gainsight-px@[1.5.2,1.12.5]

    攻击目标:React Native应用开发者

    理由:React Native相关包,可能针对移动应用开发环境收集敏感主机信息。

  • 包名:hw-transport-node-hid@[9.1.1,9.1.1]

    攻击目标:硬件交互项目(如设备管理工具)

    理由:HID传输库常用于硬件通信,可能窃取设备连接的主机敏感信息。

相关推荐
四岁半儿2 小时前
常用css
前端·css
你的人类朋友2 小时前
说说git的变基
前端·git·后端
姑苏洛言2 小时前
网页作品惊艳亮相!这个浪浪山小妖怪网站太治愈了!
前端
字节逆旅2 小时前
nvm 安装pnpm的异常解决
前端·npm
Jerry3 小时前
Compose 从 View 系统迁移
前端
GIS之路3 小时前
2025年 两院院士 增选有效候选人名单公布
前端
四岁半儿3 小时前
vue,H5车牌弹框定制键盘包括新能源车牌
前端·vue.js
烛阴3 小时前
告别繁琐的类型注解:TypeScript 类型推断完全指南
前端·javascript·typescript
gnip3 小时前
工程项目中.env 文件原理
前端·javascript
JefferyXZF4 小时前
Next.js Server Actions 详解: 无缝衔接前后端的革命性技术(八)
前端·全栈·next.js