多个 nodejs 程序包中嵌入了恶意代码。安装受影响的程序包会执行 install.js 文件从而在 Windows 上启动 node-gyp.dll 恶意软件。下列 nodejs 程序包和版本会受到影响

  - @pkgr/core 0.2.8
  - eslint-config-prettier 8.10.1、 9.1.1、 10.1.6、 10.1.7
  - eslint-plugin-prettier 4.2.2、 4.2.3
  - got-fetch 5.1.11、 5.1.12
  - napi-postinstall 0.3.1
  - synckit 0.11.9

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Node.js 多个程序包嵌入式恶意代码 (CVE-2025-54313)

high Nessus 插件 ID 245592

版本 1.2

版本 1.1

版本 1.2 Jan 5, 2026, 10:40 PM Detection (Added Check for OS Managed Packages) Detection (Exclude certain ZTE CGSL directories by default. Modified Plugins to call Nodejs specific functions for reporting) Plugin Feed: 202601052240
版本 1.1 Aug 8, 2025, 11:45 PM New Plugin Feed: 202508082345