FICHE CVE

CVE-2026-73035

Publiée le 2026-08-10 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les utilisateurs de l'outil `npm-check-updates` sont concernés s'ils l'exécutent avec les options `--format homepage` ou `--format repo`. Un attaquant peut insérer des séquences d'échappement de terminal malveillantes dans les métadonnées d'un paquet, ce qui pourrait lui permettre de manipuler l'affichage de votre terminal ou d'exécuter des commandes spécifiques au terminal lorsque vous vérifiez les mises à jour. Cela nécessite que vous exécutiez manuellement l'outil sur un paquet malveillant, mais aucune authentification ni privilège spécial n'est requis pour que l'exploitation se déclenche.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-150

Publiée2026-08-10

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

npm-check-updates through 23.0.2, fixed in commit b554b84, contains a terminal escape sequence injection vulnerability that allows an attacker to embed arbitrary terminal control characters in a dependency's package.json homepage or repository URL fields. When a developer runs ncu with the --format homepage or --format repo option, unfiltered escape sequences are written directly to the terminal, enabling malicious output manipulation or other terminal-dependent effects.