eslint-config-prettier, eslint-plugin-prettier, synckit, @pkgr/core, napi-postinstall have embedded malicious code

CAO 7.5ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2025-54313 · GHSA-f29h-pxvx-f335 · Công bố 19/07/2025 · cập nhật 17/06/2026

Prettier eslint-config-prettier Embedded Malicious Code Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 22/01/2026. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2025-54313 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng got-fetch (alexghr), homarr (homarr), eslint-config-prettier (prettier).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 22/01/2026.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 5.1%, cao hơn 92.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.30.0, 0.2.9, 10.1.8, 8.10.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
got-fetch alexghr	`= 5.1.1= 5.1.2`	Chưa có bản vá
homarr homarr	`≥ 1.29.0, < 1.30.0`	`1.30.0`
eslint-config-prettier prettier	`= 10.1.6= 10.1.7= 8.10.1= 9.1.1`	Chưa có bản vá
eslint-plugin-prettier prettier	`= 4.2.2= 4.2.3`	Chưa có bản vá
napi-postinstall un-ts	`= 0.3.1`	Chưa có bản vá
pkgr/core un-ts	`= 0.2.8`	Chưa có bản vá
synckit un-ts	`= 0.11.9`	Chưa có bản vá
@pkgr/core npm	`≥ 0.2.8, < 0.2.9`

Mô tả

eslint-config-prettier 8.10.1, 9.1.1, 10.1.6, and 10.1.7 has embedded malicious code for a supply chain compromise. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.

Mô tả của NVD