CVE-2017-16077: fallo en HackerOne mongose node module
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un paquete falso llamado 'mongose' (imitando la librería legítima 'mongoose') fue publicado en npm con código malicioso para robar variables de entorno de los desarrolladores. El paquete fue removido posteriormente.
Un ataque de typosquatting explotando el registro de paquetes de npm, donde un módulo malicioso ejecutaba código durante la instalación para exfiltrar variables de entorno (potencialmente conteniendo claves de API, credenciales y secretos). El vector de ataque requiere la instalación del paquete por el desarrollador, y el modelo de amenaza asume falta de verificación adecuada de dependencias en la cadena de suministro.