漏洞描述
当用户安装受影响版本的 @navancorp/angular-web-components 等NPM组件包时会窃取用户主机的主机信息（主机名、工作目录、CPU/系统架构、IP地址等）、env/passwd/bashrc等系统敏感文件并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-8zdj-eqim |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-22 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| tearsheet.module | [1.0.0, 1.0.0] | – |
| httpreslog | [1.0.12, 1.0.12] | – |
| @navancorp/angular-web-components | [1.0.0, 1.1.1] | – |
| aria-label | [1.0.0, 1.0.0] | – |
| contentful-app-entry-localization-matrix | [7.7.7, 7.7.7] | – |
| shipping-estimate | [1.0.0, 1.0.0] | – |
| redux-toolkit-rts | [2.12.1, 2.12.1] | – |
| react-dhtml | [3.1.7, 3.1.7] | – |
| ethrs.js | [1.0.2, 1.0.2] | – |
| @navancorp/ta-fe-components | [1.0.1, 1.0.9] | – |
| foundary | [5.2.3, 5.2.3] | – |
| rtk-service | [1.6.4, 1.6.4] | – |
| eslint-plugin-custom-eslint-rules | [0.1.0, 0.1.0] | – |
| viam | [2.4.3, 2.4.3] | – |
| httpreqlog | [2.1.12, 2.1.12] | – |
| betterconsoles0 | [1.0.0, 1.0.1] | – |
| rtk-log | [1.11.5, 1.11.5] | – |
| lovable-cli | [3.1.2, 3.1.2] | – |
| redux-saga-inspector | [12.14.1, 12.14.1] | – |
| node-winston | [2.1.7, 2.1.7] | – |
| ethres.js | [1.0.2, 1.0.2] | – |
| tanstack-virtual-core | [99.99.99, 99.99.99] | – |
| cwl_shared | [1.0.0, 1.0.0] | – |
| cors-validator | [3.1.2, 3.1.2] | – |
| notification-layer | [3.3.4, 3.3.4] | – |
| jito-components | [6.1.19, 6.1.23] | – |
| redux-saga-help | [10.3.0, 10.3.13] | – |
| redux-saga-guard | [10.3.13, 10.3.13] | – |
| foundri | [5.2.3, 5.2.3] | – |
| redux-saga-devtool | [0.1.0, 10.3.0] | – |
| @navancorp/core | [1.0.0, 1.1.1] | – |
| eslint-ts-view | [2.12.1, 2.12.1] | – |
| fb_systemd | [0.0.3, 0.0.3] | – |
| package-level-3 | [17.1.1, 17.1.1] | – |
| mongose-cli | [3.1.2, 3.1.2] | – |
| @navancorp/fe-analytics | [1.0.0, 1.1.1] | – |
| @navancorp/icons | [1.0.1, 1.1.1] | – |
| fb_helpers | [0.0.3, 0.0.3] | – |
| express-prisma | [1.2.1, 1.2.1] | – |
| @navancorp/ta-travel | [1.0.1, 1.1.1] | – |
参考链接
https://www.oscs1024.com/hd/MPS-8zdj-eqim
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=TAU3
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@navancorp/angular-web-components@[1.0.0,1.1.1]
攻击目标：Navancorp内部项目
理由：@navancorp命名空间包集中被投毒，推测针对该组织内部开发者，窃取员工主机敏感信息。 -
包名：redux-toolkit-rts@2.12.1
攻击目标：Redux生态项目
理由：模仿热门库redux-toolkit命名，诱导开发者安装，窃取其开发环境信息。 -
包名：ethres.js@1.0.2
攻击目标：以太坊相关项目
理由：仿以太坊库命名（如ethers.js），针对区块链开发者，窃取主机及环境数据。
