多个 nodejs 程序包中嵌入了恶意代码。安装受影响的程序包会执行 install.js 文件从而在 Windows 上启动 node-gyp.dll 恶意软件。下列 nodejs 程序包和版本会受到影响

  - @pkgr/core 0.2.8
  - eslint-config-prettier 8.10.1、 9.1.1、 10.1.6、 10.1.7
  - eslint-plugin-prettier 4.2.2、 4.2.3
  - got-fetch 5.1.11、 5.1.12
  - napi-postinstall 0.3.1
  - synckit 0.11.9

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Node.js 多个程序包嵌入式恶意代码 (CVE-2025-54313)

high Nessus 插件 ID 245592

版本 1.1