一、 漏洞 CVE-2025-54313 基础信息
漏洞信息
                                        # N/A

## 概述

`eslint-config-prettier` 的多个版本被发现包含嵌入的恶意代码，导致供应链攻击。受影响版本在安装时会执行恶意脚本，危害用户系统安全。

## 影响版本

- `eslint-config-prettier@8.10.1`
- `eslint-config-prettier@9.1.1`
- `eslint-config-prettier@10.1.6`
- `eslint-config-prettier@10.1.7`

## 细节

- 安装受影响版本时，会执行一个恶意的 `install.js` 文件。
- 该脚本在 Windows 系统中会加载并运行 `node-gyp.dll` 恶意文件。
- `node-gyp.dll` 被确认为一种恶意软件，可能进一步危害系统或植入后门。

## 影响

- 恶意代码在安装时自动执行，用户可能在无意识中受到攻击。
- 主要影响 Windows 平台上的开发环境。
- 攻击可能导致系统被远程控制、敏感信息泄露或其他恶意行为。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
eslint-config-prettier 8.10.1, 9.1.1, 10.1.6, and 10.1.7 has embedded malicious code for a supply chain compromise. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
内嵌的恶意代码
来源：美国国家漏洞数据库 NVD
漏洞标题
eslint-config-prettier 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
eslint-config-prettier是Prettier开源的一个应用软件。 eslint-config-prettier 8.10.1版本、9.1.1版本、10.1.6版本和10.1.7版本存在安全漏洞，该漏洞源于嵌入恶意代码，可能导致供应链攻击。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-54313 的公开POC
# POC 描述 源链接 神龙链接
1 Checks projects for compromised packages, suspicious files, and import statements. https://github.com/nihilor/cve-2025-54313 POC详情
2 Detect CVE-2025-54313 eslint-config-prettier supply chain attack IOCs on Windows https://github.com/ShinP451/scavenger_scanner POC详情
三、漏洞 CVE-2025-54313 的情报信息

  • 标题： Active Supply Chain Attack: npm Phishing Campaign Leads to P... -- 🔗来源链接

    标签：

    神龙速读
    Active Supply Chain Attack: npm Phishing Campaign Leads to P...

  • 标题： Popular npm linter packages hijacked via phishing to drop malware -- 🔗来源链接

    标签：

    神龙速读
    Popular npm linter packages hijacked via phishing to drop malware

  • 标题： four new versions published with no code changes to repo · Issue #339 · prettier/eslint-config-prettier -- 🔗来源链接

    标签：

    神龙速读
    four new versions published with no code changes to repo · Issue #339 · prettier/eslint-config-prettier

  • 标题： eslint-config-prettier - npm -- 🔗来源链接

    标签：

    神龙速读
    eslint-config-prettier - npm

  • 标题： Supply Chain Security Alert: eslint-config-prettier Package Shows Signs of Compromise - StepSecurity -- 🔗来源链接

    标签：

    神龙速读
    Supply Chain Security Alert: eslint-config-prettier Package Shows Signs of Compromise - StepSecurity

  • 标题： eslint-config-prettier npm package compromised | Hacker News -- 🔗来源链接

    标签：

    神龙速读
    eslint-config-prettier npm package compromised | Hacker News

  • 标题： ESLint-config-prettier briefly had few versions with malware published | Hacker News -- 🔗来源链接

    标签：

    神龙速读
    ESLint-config-prettier briefly had few versions with malware published | Hacker News
  • https://nvd.nist.gov/vuln/detail/CVE-2025-54313
四、漏洞 CVE-2025-54313 的评论

暂无评论

发表评论