【高危】NPM组件 @0xme5war/apicli 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @0xme5war/apicli 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者的电报地址(botToken = “7699295118:AAF6pb7t718vjHWHwFQlZOastZQYHL8IVDE”， chatId = “6567865682”)。
| MPS编号 | MPS-9fkz-lir2 |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-07-30 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| request-guard | [1.2.1, 1.2.1] | - |
| jquery.ui.mouse.js | [1.0.0, 1.0.0] | - |
| 7702-eoa-implementation | [1.0.0, 1.0.3] | - |
| wax-baileys | [1.10.1, 1.10.1] | - |
| airpr-honeybadger | [1.12.5, 1.12.5] | - |
| external-pkg | [16.0.0, 16.0.0] | - |
| credit-card-input | [1.0.0, 1.0.0] | - |
| internal-pkg | [16.0.0, 16.0.0] | - |
| hw-transport-node-hid | [9.1.1, 9.1.1] | - |
| mpesa-ui-components | [1.5.0, 1.5.2] | - |
| react-native-gainsight-px | [1.5.2, 1.12.5] | - |
| jquery.ui.widget.js | [1.0.0, 1.0.0] | - |
| library-with-exports | [16.0.0, 16.0.0] | - |
| react-context-stylizer | [1.0.1, 1.0.1] | - |
| reference-library | [16.0.0, 16.0.0] | - |
| ai-cli | [1.0.0, 1.0.1] | - |
| react-router-purify | [1.0.1, 1.0.1] | - |
| stormondemand | [0.0.3, 7.7.8] | - |
| build-angular | [0.0.1, 99.1.1] | - |
| @0xme5war/apicli | [1.0.0, 2.0.0] | - |
| docusaurus-theme | [0.2.0, 0.2.0] | - |
| turborepo-examples | [16.0.0, 16.0.0] | - |
| weavejs-frontend | [1.0.3, 1.0.3] | - |
| deno-r4-basic | [1.1.0, 1.1.0] | - |
| bridge-emulator | [16.0.0, 16.0.0] | - |
| astro-benchmark | [1.4.0, 1.4.0] | - |
| blanl-pkg | [16.0.0, 16.0.0] | - |
参考链接
https://www.oscs1024.com/hd/MPS-9fkz-lir2
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=ULQQ
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
包名：@0xme5war/apicli@[1.0.0,2.0.0]
攻击目标：安装该包的开发者/项目
理由：恶意包可能模仿API客户端工具，安装后窃取主机信息发送至攻击者电报地址。包名：react-native-gainsight-px@[1.5.2,1.12.5]
攻击目标：React Native应用开发者
理由：React Native相关包，可能针对移动应用开发环境收集敏感主机信息。包名：hw-transport-node-hid@[9.1.1,9.1.1]
攻击目标：硬件交互项目（如设备管理工具）
理由：HID传输库常用于硬件通信，可能窃取设备连接的主机敏感信息。