CVE-2025-54313highbajo ataqueCWE-506

CVE-2025-54313: fallo de gravedad alta en prettier eslint-config-prettier

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear eslint-config-prettier+ Monitorear eslint-config-prettier

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

71Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.5epss 5.1%
de la publicación al arma7 días
Publicada en NVD19 jul
1ª PoC+7d
CISA KEV+187d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
19 productos (122 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift AI (RHOAI) · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 9 · Red Hat Enterprise Linux 10 · OpenShift Pipelines · y otros 14
Acción exigida por CISAplazo federal: 2026-02-12

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Una herramienta popular de formato de código contiene código malicioso oculto que se ejecuta automáticamente cuando lo instala en Windows, pudiendo dar a los atacantes control de su computadora.

Detalle técnico

El CVE-2025-54313 implica un compromiso en la cadena de suministro en eslint-config-prettier donde un script install.js malicioso ejecuta el malware node-gyp.dll después de la instalación en sistemas Windows. El vector de ataque es la instalación de paquete sin interacción del usuario; las precondiciones incluyen SO Windows e instalación de versiones afectadas (8.10.1, 9.1.1, 10.1.6, 10.1.7); el impacto incluye potencial compromiso del sistema y ejecución de código con privilegios del usuario.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

eslint-config-prettier 8.10.1, 9.1.1, 10.1.6, and 10.1.7 has embedded malicious code for a supply chain compromise. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N
Productos afectados
prettier · eslint-config-prettier
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.