Paquets NPM piégés : le CERT-FR alerte sur une attaque par la chaîne d'approvisionnement

En 2025, l'autorité française de cybersécurité signale la compromission de plusieurs bibliothèques JavaScript très utilisées, distribuées via le registre NPM.

Le CERT-FR, rattaché à l'ANSSI, publie une alerte sur une attaque visant plusieurs paquets du registre NPM, qui distribue les bibliothèques utilisées par d'innombrables applications web et logiciels écrits en JavaScript.

Des versions malveillantes de ces paquets ont été publiées après la compromission des comptes de leurs mainteneurs. Tout projet qui les installait ou les mettait à jour pendant la période concernée pouvait embarquer le code malveillant.

Le CERT-FR détaille les versions touchées et les actions de remédiation : identifier les projets concernés, revenir à des versions saines, renouveler les secrets qui ont pu être exposés et surveiller les systèmes de développement.