【高危】NPM组件 @frontend-clients/wallet-web 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @frontend-clients/wallet-web 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-8bk3-iyfg |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-07-10 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| dependabot-ruleset-runner | [1.0.0, 1.0.0] | – |
| yoomoney-github-landing | [45.45.45, 45.45.45] | – |
| firefox-puppeteer | [1.0.0, 1.0.0] | – |
| imx-core-sdk | [1.0.0, 1.0.0] | – |
| formatjs-internal-intl | [1.0.0, 1.0.2] | – |
| lang.extend | [1.0.0, 1.0.0] | – |
| grafana-zabbix | [1.0.0, 1.0.0] | – |
| nf-cons-log | [1.0.0, 3.2.1] | – |
| sqltools-kusto-driver | [1.0.0, 1.0.0] | – |
| modalvalidator2 | [1.0.0, 1.0.1] | – |
| tv-app | [1.0.0, 1.0.0] | – |
| intel-gdb-helpers | [1.0.0, 1.0.0] | – |
| postcss-minify-theme | [7.0.5, 7.0.6] | – |
| paypal-invoicing | [1.0.0, 1.0.0] | – |
| naya-flore | [4.7.1, 4.7.2] | – |
| dt-automation-core | [1.0.0, 1.0.0] | – |
| grafana-polystat-panel | [1.0.0, 1.0.0] | – |
| internallib_v866 | [1.0.1, 1.0.1] | – |
| lang.browser | [1.0.0, 1.0.0] | – |
| k6-studio-ui-components | [1.0.0, 1.0.0] | – |
| houimlogs22 | [8.20.12, 8.20.12] | – |
| dt-internal-linter | [1.0.0, 1.0.0] | – |
| monosize-bundler-rsbuild | [0.0.1, 0.1.6] | – |
| theta-tv-charts | [1.0.0, 1.0.2] | – |
| @sfdc-ogs/v1-stable | [99.9.1, 99.9.1] | – |
| homiersla | [87.71.32, 87.71.32] | – |
| obvbd | [1.0.0, 1.0.0] | – |
| nvlore-hsc | [2.6.8, 2.6.9] | – |
| nmig | [1.0.0, 1.0.0] | – |
| tutorial_front | [41.24.24, 90.24.24] | – |
| @frontend-clients/wallet-web | [8.1.2, 8.1.4] | – |
| ec2-github-runner | [1.0.0, 1.0.0] | – |
| dashboard-demo | [1.0.0, 1.0.0] | – |
| googleapis-node | [0.0.0, 1.0.0] | – |
| modal-arbitary | [1.0.0, 1.0.2] | – |
| jwoiesk11 | [2.1.8, 2.1.8] | – |
| intel-telemetry | [1.0.0, 1.0.0] | – |
| firefox-profiler | [1.0.0, 1.0.0] | – |
| util.report | [1.0.0, 1.0.0] | – |
| linear-connect | [7.7.7, 7.7.7] | – |
| netnodepushlab | [13.32.2, 13.32.2] | – |
| gift-chii-true | [1.0.0, 1.0.0] | – |
| react-international-phone-js | [1.0.0, 1.0.2] | – |
参考链接
https://www.oscs1024.com/hd/MPS-8bk3-iyfg
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/apply?code=93XQ
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@frontend-clients/wallet-web@[8.1.2, 8.1.4]
攻击目标：钱包类Web应用
理由：包名含”wallet-web”，直接关联钱包功能，窃取主机信息可能针对金融场景用户或开发环境。 -
包名：paypal-invoicing@[1.0.0, 1.0.0]
攻击目标：PayPal集成项目
理由：包名明确指向PayPal发票功能，可能影响使用该包的支付相关应用。 -
包名：yoomoney-github-landing@[45.45.45, 45.45.45]
攻击目标：YooMoney相关落地页项目
理由：YooMoney为支付系统，该包可能被用于其相关Web落地页，窃取访问者信息。
