CVE-2026-46421
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W dniu 29 kwietnia 2026 roku opublikowano złośliwe wersje pakietów npm `@cap-js/[email protected]`, `@cap-js/[email protected]` oraz `@cap-js/[email protected]`. Pakiety te wykradały dane uwierzytelniające i próbowały samoreplikować się w środowisku ofiary.
Ocena ryzyka
Zainstalowanie którejkolwiek z tych wersji powoduje wyciek wszystkich danych uwierzytelniających dostępnych na maszynie, w tym tokenów npm, kluczy SSH, tokenów GitHub PAT oraz poświadczeń dostawców chmury. Atakujący mogą uzyskać pełny dostęp do zasobów i kont organizacji.
Rekomendacja
Natychmiast zaktualizuj pakiety do bezpiecznych wersji: `@cap-js/sqlite` >= 2.4.0, `@cap-js/postgres` >= 2.3.0, `@cap-js/db-service` >= 2.11.0. Jeśli kiedykolwiek zainstalowano którąś z kompromitujących wersji, należy rotować wszystkie dane uwierzytelniające na maszynie.
Oryginalny opis (angielski, źródło NVD)
The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and `@cap-js/[email protected]` were published. The malicious packages harvested credentials and attempted self-propagation. If a compromised version was installed, all credentials accessible on that machine (npm tokens, cloud provider credentials, SSH keys, GitHub PATs) should be considered compromised. User should upgrade to `@cap-js/sqlite` >= 2.4.0, `@cap-js/postgres` >= 2.3.0, `@cap-js/db-service` >= 2.11.0. If a compromised version was ever installed, rotate all affected credentials. No known workarounds are available.