【高危】NPM组件 @coolblue-development/next-recently-viewed 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @coolblue-development/next-recently-viewed 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-qcto-16v8 |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-01 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| blockly-test | [0.1.0, 0.1.0] | – |
| rca-compte-comptable | [7.0.3, 7.0.3] | – |
| vscode-kubernetes-tools | [1.4.0, 1.4.0] | – |
| posionfor2 | [1.0.0, 1.0.0] | – |
| session-logger | [3.8.2, 3.8.2] | – |
| bullyshitty | [3.0.0, 3.0.0] | – |
| tailwindcss-animate-plus | [1.0.0, 4.0.2] | – |
| rca-include | [2.0.1, 2.0.1] | – |
| web3-plugin-swisstronik | [10.4.5, 10.4.5] | – |
| flatfox-api | [999.999.0, 999.999.0] | – |
| vite-styled-kit | [1.0.0, 1.0.0] | – |
| rca-ajouter-contact | [10.0.0, 10.0.0] | – |
| auto-git-ai | [1.0.1, 1.0.1] | – |
| zoop-web-sdk | [3.1.2, 3.1.2] | – |
| rca-search-filter | [3.0.0, 3.0.0] | – |
| @sangith/eslint-config | [1.0.0, 1.0.0] | – |
| component-detection | [1.0.0, 7.3.2] | – |
| azuresdkpackagelist | [1.1.2, 1.1.2] | – |
| uxline | [1.0.1, 1.0.1] | – |
| rca-filter | [3.0.2, 3.0.2] | – |
| vectorrise | [1.0.1, 1.0.1] | – |
| playwright-config-pdffiller | [999.0.0, 999.0.0] | – |
| rca-url-adaptator | [2.1.4, 2.1.4] | – |
| jp.oripaone | [20.20.20, 20.20.20] | – |
| rca-draggable | [1.1.5, 1.1.5] | – |
| @coolblue-development/next-recently-viewed | [99.9.1, 99.9.1] | – |
| nubank-www-latam-commons | [99.99.99, 99.99.102] | – |
| itmoah | [1.0.0, 1.0.4] | – |
| eslint-config-pdffiller | [999.0.0, 999.0.0] | – |
| danzoo1-utilss | [1.2.3, 1.2.3] | – |
| ent-profile-unauth-stop | [999.1.5, 999.1.5] | – |
| rca-date-picker | [5.0.1, 5.0.1] | – |
| pwm-components | [999.999.999, 999.999.999] | – |
| @hotandcold/classic-webview | [7.7.7, 7.7.7] | – |
| testsubdashboard | [15.0.4, 15.0.4] | – |
| narendar-react-ui | [99.9.11, 99.9.11] | – |
参考链接
https://www.oscs1024.com/hd/MPS-qcto-16v8
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=MIMN
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@coolblue-development/next-recently-viewed@99.9.1
攻击目标：Next.js应用开发者
理由：包名含”next”（Next.js框架），可能被相关应用开发者使用，窃取其主机敏感信息。 -
包名：vscode-kubernetes-tools@1.4.0
攻击目标：Kubernetes开发者
理由：VSCode Kubernetes插件，用户为开发者，窃取主机信息以获取开发环境数据。 -
包名：nubank-www-latam-commons@99.99.99
攻击目标：Nubank相关项目
理由：包名含”Nubank”（拉美数字银行），推测为其项目依赖，窃取内部主机信息。 -
包名：web3-plugin-swisstronik@10.4.5
攻击目标：Swisstronik区块链开发者
理由：Web3插件指向Swisstronik生态，开发者安装后可能被窃取主机敏感信息。 -
包名：zoop-web-sdk@3.1.2
攻击目标：支付集成项目开发者
理由：Zoop Web SDK用于支付集成，攻击者针对使用该SDK的电商/支付项目开发者。
