https://cyberveille.ch/tags/module-resolution/ Recent content in Module-Resolution on CyberVeille Hugo -- 0.146.0 fr-fr Wed, 08 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-08-node-js-sur-windows-escalade-de-privileges-via-resolution-de-modules-non-controlee-discord-npm-cli/ Wed, 08 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-08-node-js-sur-windows-escalade-de-privileges-via-resolution-de-modules-non-controlee-discord-npm-cli/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 8 avril 2026 par Bobby Gould et Michael DePlante sur le blog de la <strong>Zero Day Initiative (ZDI)</strong>, cet article détaille une vulnérabilité structurelle dans la résolution de modules <strong>Node.js sur Windows</strong>, initialement signalée en septembre 2024 par un chercheur anonyme.</p> <h2 id="-cause-racine">⚙️ Cause racine</h2> <p>Lorsqu&rsquo;une application Node.js appelle <code>require('bar')</code>, le runtime parcourt une liste de chemins jusqu&rsquo;à atteindre <strong><code>C:\node_modules</code></strong>. Sur Windows, tout utilisateur peu privilégié peut créer ce répertoire et y déposer un module malveillant. Si la dépendance légitime est absente (optionnelle, supprimée en production, ou non installée), Node.js charge et exécute le fichier malveillant dans le contexte de l&rsquo;utilisateur courant.</p>