57 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a javascript.
Relatórios apontam aumento nas tentativas de exploração de CVE‑2025‑55182 (React2Shell). O resumo não detalha vetores, patches ou grupos atacantes; recomenda‑se auditar dependências JavaScript, checar comunicados oficiais e monitorar tentativas de exploração.
Analistas detectaram mais de 390 domínios iCalendar abandonados que continuam a receber sincronizações e podem ser re-registrados por atacantes para distribuir eventos maliciosos. O conjunto de domínios teria contato com cerca de 4 milhões de IPs únicos por dia, principalmente iOS/macOS; tráfego e scripts ofuscados permitem redirecionamentos e phishing sem ação do usuário.
O pacote JavaScript node-forge recebeu correção para uma vulnerabilidade que, segundo relato do Bleeping Computer, poderia ser explorada para burlar verificações de assinatura ao manipular dados. A matéria informa que há um fix disponível, mas não detalha CVE, versões afetadas ou PoC. Equipes devem atualizar dependências e auditar usos de assinatura até que um advisory técnico seja publicado.
Uma nova iteração do worm 'Shai-Hulud' comprometeu 640 pacotes NPM e apresenta comportamento autorreplicante; se não conseguir se espalhar, a amostra relatada pode apagar o diretório home do sistema afetado. A publicação recomenda isolamento de versões afetadas, auditoria de pipelines e práticas de defesa na cadeia de suprimentos.
A Amazon detectou a publicação automatizada de cerca de 150.000 pacotes NPM em uma campanha coordenada associada a token farming ligada ao domínio tea.xyz. O SecurityWeek reporta que o ator financeiro automatizou o pipeline de publicação, mas não há detalhes públicos sobre conteúdo malicioso nos pacotes nem sobre remoções em massa no registry.
Google lançou Chrome 142.0.7444.162/.163 para corrigir CVE-2025-13042, falha de alta severidade no motor V8 reportada em 3/11/2025. O update será distribuído gradualmente para Windows, macOS e Linux; a recomendação é atualizar clientes assim que a build estiver disponível.
Campanha de phishing detectada usa e‑mails com tema de alerta de segurança e anexos HTML com JavaScript para capturar logins de webmail; formulários falsos chegam pré‑preenchidos com o e‑mail da vítima e enviam credenciais a servidores maliciosos.