Node.js 複数のパッケージに埋め込まれた悪意のあるコードCVE-2025-54313

high Nessus プラグイン ID 245592

概要

Node.js JavaScript ランタイム環境の複数のパッケージが、埋め込まれた悪意あるコードの影響を受けます。

説明

複数の nodejs パッケージが悪意のあるコードで埋め込まれていました。影響を受けるパッケージをインストールすると、node-gyp.dll マルウェアを Windows で起動する install.js ファイルが実行されます。以下の nodejs パッケージおよびバージョンが影響を受けます。

- @pkgr/core 0.2.8
- eslint-config-prettier 8.10.1、 9.1.1、 10.1.6、 10.1.7
- eslint-plugin-prettier 4.2.2、 4.2.3
- get-fetch 5.1.11、 5.1.12
- napi-postinstall 0.3.1
- synckit 0.11.9

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受けるパッケージの修正バージョンにアップグレードしてください。

参考資料

https://github.com/advisories/GHSA-f29h-pxvx-f335

http://www.nessus.org/u?5bf8cbed

プラグインの詳細

深刻度: High

ID: 245592

ファイル名: nodejs_eslint-config-prettier_CVE-2025-54313.nasl

バージョン: 1.1

タイプ: local

エージェント: windows

ファミリー: Windows

公開日: 2025/8/8

更新日: 2025/8/8

設定: 徹底したチェックを有効にする (optional)

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

基本値: 6.1

ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:C/A:N

CVSS スコアのソース: CVE-2025-54313

CVSS v3

リスクファクター: High

基本値: 7.5

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N

脆弱性情報

CPE: cpe:/a:nodejs:node.js

必要な KB アイテム: Host/nodejs/modules/enumerated

パッチ公開日: 2025/7/19

脆弱性公開日: 2025/7/19

参照情報

CVE: CVE-2025-54313