https://cyberveille.ch/tags/math_symbol.js/ Recent content in Math_Symbol.js on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 08 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-08-attaque-supply-chain-active-packages-npm-keyv-et-cacheable-compromis-vol-de-credentials-et-autopropagation/ Sat, 08 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-08-attaque-supply-chain-active-packages-npm-keyv-et-cacheable-compromis-vol-de-credentials-et-autopropagation/ <h2 id="-contexte">🔍 Contexte</h2> <p>Le 4 août 2026, l&rsquo;équipe de recherche Socket a publié une analyse d&rsquo;une attaque supply chain active ciblant les packages npm <strong>keyv</strong> et <strong>cacheable</strong>, deux familles de bibliothèques de stockage clé-valeur et de cache très répandues, totalisant des dizaines de millions de téléchargements hebdomadaires.</p> <h2 id="-vecteur-dattaque">🎯 Vecteur d&rsquo;attaque</h2> <p>Le compte maintainer <strong>Jaredwray</strong> a été compromis et utilisé pour publier des versions malveillantes. La première version malveillante, <strong><a href="mailto:keyv@6.0.0">keyv@6.0.0</a></strong>, a été publiée à 09h35 UTC. Au moins <strong>dix packages</strong> ont été affectés, dont certains en dehors des namespaces keyv et cacheable (ex: <code>@thiennq/docs-viewer@1.6.2</code>). La compromission repose sur un <strong>hook preinstall</strong> (<code>setup.mjs</code>) ajouté au <code>package.json</code>.</p>