JavaScript

📰 Contexte Source : BleepingComputer, publié le 18 avril 2026. La société de sécurité applicative Endor Labs a publié un rapport détaillant une vulnérabilité critique d’exécution de code à distance (RCE) dans protobuf.js, l’implémentation JavaScript des Protocol Buffers de Google. La bibliothèque est téléchargée environ 50 millions de fois par semaine sur npm. 🔍 Détails techniques La vulnérabilité est identifiée sous GHSA-xq3m-2v4x-88gg (aucun CVE officiel attribué à ce jour). Elle est causée par une génération dynamique de code non sécurisée : ...

🔍 Contexte Publié le 3 avril 2026 par BleepingComputer, cet article rapporte les conclusions d’un rapport baptisé “BrowserGate” (https://browsergate.eu/), produit par l’association Fairlinked e.V., affirmant que LinkedIn (Microsoft) injecte des scripts JavaScript cachés dans les sessions utilisateurs pour scanner les extensions de navigateur installées et collecter des données système. 🛠️ Mécanisme technique observé BleepingComputer a confirmé indépendamment la présence d’un fichier JavaScript au nom de fichier aléatoire chargé par le site LinkedIn. Ce script : ...

🌐 Contexte Source : socket.dev, publié le 28 mars 2026. Une campagne de phishing coordonnée et à grande échelle cible les développeurs directement sur la plateforme GitHub, en exploitant la fonctionnalité GitHub Discussions pour diffuser de fausses alertes de sécurité liées à Visual Studio Code. 🎯 Mode opératoire Les attaquants créent des milliers de GitHub Discussions quasi-identiques imitant des avis de sécurité légitimes, avec des titres tels que : “Visual Studio Code – Severe Vulnerability – Immediate Update Required” “Critical Exploit – Urgent Action Needed” Chaque post référence des CVE fabriqués et des plages de versions fictives, et incite les développeurs à télécharger une version “corrigée” via un lien externe. Les publications sont effectuées par des comptes récemment créés ou peu actifs, et taguent massivement des développeurs pour amplifier la portée via le système de notifications email de GitHub. ...

Selon BleepingComputer, un code JavaScript malveillant distribué par le SDK Web d’AppsFlyer a servi à détourner des cryptomonnaies, dans ce qui pourrait être une attaque de chaîne d’approvisionnement. Nature de l’incident : injection et livraison de JavaScript malveillant via un SDK tiers. Impact : détournement de cryptomonnaies (hijacking) depuis des utilisateurs exposés. Hypothèse d’origine : attaque de supply chain impliquant la chaîne de distribution du SDK. Éléments clés Type d’attaque : Code malveillant / Supply chain 🚨 Vecteur : AppsFlyer Web SDK Impact : Vol/détournement de fonds en cryptomonnaies IOCs et TTPs ...

Selon BleepingComputer (Lawrence Abrams), une campagne d’arnaque exploite les commentaires Pastebin pour diffuser une variante ClickFix qui incite les utilisateurs de cryptomonnaies à exécuter du JavaScript dans leur navigateur, permettant de détourner des transactions Bitcoin sur le service d’échange Swapzone.io. Les attaquants laissent des commentaires sur Pastebin vantant une supposée « fuite » promettant jusqu’à 13 000 $ en deux jours via un pseudo exploit d’arbitrage entre Swapzone.io et ChangeNOW. Le lien mène à une page Google Docs intitulée « Swapzone.io – ChangeNOW Profit Method » décrivant une méthode factice exploitant un « ancien nœud backend » (v1.9) pour obtenir ~38 % de gains supplémentaires. ...

Selon BleepingComputer, une faille critique affecte la bibliothèque JavaScript populaire expr-eval distribuée sur NPM, ouvrant la voie à une exécution de code à distance (RCE). Contexte Une vulnérabilité critique (CVE-2025-12735, score CVSS 9.8) a été découverte dans la bibliothèque JavaScript expr-eval, téléchargée plus de 800 000 fois par semaine sur NPM et largement utilisée pour parser et évaluer des expressions mathématiques fournies par l’utilisateur. Elle est intégrée dans des centaines de projets, dont des outils éducatifs, financiers, scientifiques et des systèmes IA/NLP. ...

Selon la référence fournie (Socket.dev, blog), npm lance « Trusted Publishing » basé sur OpenID Connect (OIDC) pour tous les utilisateurs, afin de sécuriser la publication de packages JavaScript dans un contexte de récentes attaques de supply chain ayant exploité des tokens de mainteneurs compromis. 🔐 Points clés: Passage à des identifiants éphémères et cryptographiquement sécurisés qui expirent après chaque publication, évitant les tokens longue durée en CI/CD. Génération automatique d’attestations de provenance (preuve cryptographique de l’identité du publieur et des métadonnées d’environnement de build) sans nécessiter l’option --provenance. Objectif: réduire les risques d’attaques de la chaîne d’approvisionnement liés au vol/abus de secrets dans les pipelines. 🧰 Intégration et prérequis: ...

L’article publié le 7 août 2025 par Seqrite met en lumière une nouvelle menace où des cybercriminels exploitent des fichiers SVG pour réaliser des attaques de phishing sophistiquées. Ces fichiers, contrairement aux images standard, peuvent contenir du JavaScript exécutable qui s’exécute automatiquement dans les navigateurs, redirigeant les victimes vers des sites de collecte de crédentiels. Ces attaques sont principalement diffusées par des emails de spear-phishing avec des pièces jointes convaincantes et des liens vers des stockages en cloud, échappant souvent à la détection en raison de la réputation de confiance des SVG. Les organisations sont encouragées à mettre en place une inspection approfondie du contenu, à désactiver le rendu automatique des SVG provenant de sources non fiables, et à renforcer la sensibilisation des utilisateurs pour se défendre contre ce vecteur de menace émergent. ...

L’article de bleepingcomputer.com rapporte un incident survenu sur npm, la plus grande plateforme de registre de logiciels pour JavaScript et Node.js, où le package Stylus a été accidentellement retiré. Stylus, une bibliothèque légitime largement utilisée avec 3 millions de téléchargements hebdomadaires, a été remplacée par une page de “sécurité en attente”, une mesure habituellement réservée aux packages malveillants. Ce retrait a causé des interruptions dans les pipelines et les builds à travers le monde qui dépendent de Stylus. ...

L’article publié par le Threat Research Center de Palo Alto Networks explore une campagne de compromission de sites web légitimes à l’aide de code JavaScript obfusqué, surnommé JSFireTruck. Cette campagne utilise une technique d’obfuscation JavaScript appelée JSF*ck, renommée JSFireTruck pour éviter la vulgarité. Les attaquants injectent ce code dans des sites web pour rediriger les utilisateurs vers des pages malveillantes, exploitant des moteurs de recherche comme vecteurs de redirection. Plus de 269 000 pages ont été infectées entre mars et avril 2025, révélant l’ampleur de l’attaque. ...