MAL-2026-3412: Package Malveillant post-purchase-bundler (npm)

L'impact de MAL-2026-3412 réside dans le risque d'infection par malware. Le package 'post-purchase-bundler' communique avec un domaine contrôlé par des acteurs malveillants, ce qui permet à ces derniers d'injecter du code malveillant dans les applications qui utilisent ce package. Ce code malveillant peut être utilisé pour voler des données sensibles, compromettre la sécurité du système ou lancer d'autres attaques. Le risque est particulièrement élevé pour les applications de commerce électronique ou de traitement de commandes qui utilisent ce package, car elles pourraient être ciblées pour voler des informations sur les clients ou les transactions. La présence du package dans le flux de dépendances npm augmente le risque de propagation de l'infection.

Organizations utilizing the itsourcecode University Management System version 1.0, particularly those with publicly accessible instances or those lacking robust input validation practices, are at significant risk. Shared hosting environments where multiple users share the same server resources are also particularly vulnerable, as a compromise of one user's account could potentially impact others.

• php / web:

curl -I 'http://your-university-management-system/att_single_view.php?dt=<script>alert(1)</script>' | grep -i content-type

• generic web:

 grep -i 'dt=<script' /var/log/apache2/access.log

1. 2026-03-02Disclosure

   disclosure

1. Réservé2026-03-01
2. Publiée2026-03-02
3. EPSS mis à jour2026-03-23

En l'absence d'une version corrigée, la mesure la plus efficace consiste à supprimer immédiatement le package 'post-purchase-bundler' de tous les projets npm affectés. Utilisez la commande npm uninstall post-purchase-bundler pour supprimer le package. Ensuite, effectuez une analyse de sécurité approfondie de votre code pour vous assurer qu'il n'y a pas d'autres dépendances malveillantes. Envisagez d'utiliser des outils d'analyse de la chaîne d'approvisionnement logicielle pour identifier et atténuer les risques liés aux dépendances npm. Surveillez attentivement les journaux d'audit pour détecter toute activité suspecte liée à ce package. La mise en place d'une politique de sécurité des dépendances peut aider à prévenir l'utilisation de packages malveillants à l'avenir.