Versions piégées d'axios sur npm : vérifiez vos projets et changez vos clés

En mars 2026, des attaquants ont pris le contrôle du compte npm d'un des principaux mainteneurs d'axios, une bibliothèque JavaScript très répandue qui sert à envoyer des requêtes web, et ont publié deux versions piégées le 31 mars 2026 : 1.14.1 et 0.30.4. Ils n'ont pas modifié le code d'axios lui-même. Ils ont ajouté une dépendance cachée, plain-crypto-js 4.2.1, dont le script d'installation déposait un cheval de Troie d'accès à distance sur Windows, macOS et Linux. L'agence de cybersécurité de Singapour (CSA) décrit une campagne combinant vol d'identifiants, contournement de la chaîne de publication habituelle et effacement de traces.

Le danger se situe au moment de l'installation. Un ordinateur de développeur ou un serveur de build qui a lancé une installation pendant que ces versions étaient disponibles peut être contrôlé par l'attaquant, avec accès à toutes les clés qui s'y trouvent : hébergement, base de données, fournisseur de paiement, service de courriel. L'avis de GitHub indique que tout ordinateur sur lequel le paquet a été installé ou exécuté doit être considéré comme entièrement compromis, et que retirer le paquet ne suffit pas forcément à tout supprimer.

Qui est concerné

Les projets qui ont installé axios 1.14.1 ou 0.30.4, directement ou par l'intermédiaire d'un autre paquet, ainsi que les ordinateurs et serveurs de build où cette installation a eu lieu. Les sites et applications construits avec React, Next.js, Node.js et bien d'autres outils utilisent souvent axios. Votre site en ligne n'est pas automatiquement infecté, mais les secrets servant à le construire et à le déployer peuvent être exposés.

Comment vérifier votre site

Demandez à votre développeur de chercher dans le fichier de verrouillage du projet (package-lock.json, yarn.lock ou pnpm-lock.yaml) axios 1.14.1, axios 0.30.4 ou plain-crypto-js, et de consulter les journaux de build du 31 mars 2026. Si vous ne savez pas si votre projet utilise axios, il figure dans package.json lorsque c'est le cas.

Quoi faire maintenant

• Passez à une version saine. La CSA indique 1.14.0 et 0.30.3 comme versions sûres vers lesquelles revenir.
• Retirez plain-crypto-js de tous les environnements et dossiers node_modules.
• Considérez toute machine qui a installé les mauvaises versions comme compromise : réinstallez-la plutôt que de la nettoyer, et changez tous les secrets qu'elle contenait, depuis un autre ordinateur sain.
• Demandez à votre développeur d'examiner les journaux de build à la recherche de connexions sortantes inattendues, comme le recommande la CSA.
• Les projets dont le fichier de verrouillage n'a jamais contenu ces versions ne sont très probablement pas touchés, mais la vérification ne prend que quelques minutes.

Cette alerte rapporte ce que les sources ont publié et ne constitue pas une garantie pour un site en particulier.