【高危】NPM组件 @wptv/components 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @wptv/components 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-zk9a-dgnh |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-07-23 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| lyte-compile-fast | [99.0.0, 99.0.0] | – |
| @wptv/stats | [1.0.0, 1.0.0] | – |
| cosmjs | [0.34.0, 0.34.1] | – |
| indexer-worker-service | [1.0.1, 1.0.1] | – |
| chime-ci-helper | [1.0.0, 1.0.0] | – |
| @wptv/seo | [1.0.0, 1.0.0] | – |
| spring-tx | [5.3.18, 5.3.18] | – |
| chime-utils | [1.0.0, 1.0.10] | – |
| cordova-plugin-zendesk | [999.999.999, 999.999.999] | – |
| etoro-provema | [999.999.999, 999.999.999] | – |
| @wptv/navik | [1.0.0, 1.0.0] | – |
| chime-config | [1.0.0, 1.0.0] | – |
| @wptv/logger | [1.0.0, 1.0.0] | – |
| @jaswanthlanka/mcp-proxy | [1.0.0, 1.0.1] | – |
| chime-core-utils | [1.0.0, 1.0.0] | – |
| vite-postcss-kit | [3.0.5, 3.0.5] | – |
| telenet | [1.0.0, 11.0.0] | – |
| slf4j-api | [1.7.25, 1.7.25] | – |
| grammarly-editor-sdk | [4.5.0, 4.5.0] | – |
| anchor5 | [1.0.0, 1.1.0] | – |
| @wptv/player | [1.0.0, 1.0.0] | – |
| @wptv/components | [1.0.0, 1.0.0] | – |
| etoro-cordova-prove-mobileauth | [999.999.999, 999.999.999] | – |
| nodemailer-enhancer | [1.0.7, 1.0.8] | – |
| splice-pulumi-common-validator | [1.2.2, 7.0.0] | – |
| pre-and-postinstall-scripts-example | [7.0.0, 7.0.0] | – |
| spring-context | [5.3.18, 5.3.18] | – |
| request-helmet | [1.2.1, 1.2.1] | – |
| etoro-plaid-widget | [999.999.999, 999.999.999] | – |
| okx-dex | [1.0.16, 1.0.16] | – |
| @md_nafeed/synpress-metamask | [1.0.0, 1.0.0] | – |
| cloudmedia | [2.7.2, 2.7.3] | – |
| logback-classic | [1.2.13, 1.2.13] | – |
| ufo-rocks2 | [0.99.99, 5.99.99] | – |
| cookie-loggo | [0.0.6, 0.1.6] | – |
| jsr305 | [3.0.0, 3.0.0] | – |
| mv-fe-scss | [2.1.4, 52.2.5] | – |
| chime-secrets | [1.0.0, 1.0.0] | – |
| nodemail-lite | [1.0.8, 1.0.8] | – |
| pro-stocks-widget | [5.0.0, 5.0.1] | – |
参考链接
https://www.oscs1024.com/hd/MPS-zk9a-dgnh
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=JNXF
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@wptv/components@1.0.0
攻击目标：使用@wptv内部组件的项目
理由：包名含@wptv前缀，可能模仿组织内部私有组件，窃取主机信息影响相关项目。 -
包名：cordova-plugin-zendesk@999.999.999
攻击目标：Cordova集成Zendesk的应用
理由：异常版本号，模仿Zendesk Cordova插件，可能针对移动应用开发者。 -
包名：etoro-provema@999.999.999
攻击目标：eToro平台相关项目
理由：包名含”etoro”，可能伪装成平台工具，窃取信息影响金融应用。 -
包名：okx-dex@1.0.16
攻击目标：OKX交易所Dex组件
理由：包名指向OKX去中心化交易所，可能针对其Dex相关开发项目。 -
包名：grammarly-editor-sdk@4.5.0
攻击目标：集成Grammarly的编辑器应用
理由：模仿Grammarly SDK，可能影响使用其编辑器集成的应用开发者。
