CVE-2025-54313

highPriorität · handeln · 90OT-Risiko · kritischKEV · ausgenutztEPSS 0.051 · 92. PerzentilExploit · PoCEURUUS

grimoire priorityP0 · Act now

Exploitable?

Yes · in the wild

CISA KEV · 2 exploits · PoC

Likely / severe?

5.13% (92nd) EPSS

CVSS 7.5 · high

Is it mine?

27 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · nvd

hinzugefügt 2026-01-22beheben bis 2026-02-12

erforderliche Maßnahme Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

EPSS · bewertet 2026-10-27

Prettier eslint-config-prettier Embedded Malicious Code Vulnerability

eslint-config-prettier 8.10.1, 9.1.1, 10.1.6, and 10.1.7 has embedded malicious code for a supply chain compromise. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.17.5highAV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:Nsecondary · FSTEC (BDU) RU

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:Nsecondary · ENISA EU

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:Nsecondary · cve@mitre.org USAusnutzbarkeit 2.2 · Auswirkung 4.7

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:Nsecondary · OSV

v3.17.5highCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:N/E:Hsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: active · Automatable: no · Technical Impact: partialcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-506USCWE-506USCWE-506US

Exploits (2)

Öffentlicher Proof-of-Concept- und Exploit-Code.

Paspke/scavenger_scannerDetect CVE-2025-54313 eslint-config-prettier supply chain attack IOCs on WindowsPoC · poc_in_github
nihilor/cve-2025-54313Checks projects for compromised packages, suspicious files, and import statements.PoC · poc_in_github

betroffene Produkte (27)

Betroffene Produkte und Versionsbereiche.

prettier eslint-config-prettier≤ 10.1.7enisa_euvdEU
prettier eslint-config-prettier≤ 10.1.6enisa_euvdEU
prettier eslint-config-prettier≤ 8.10.1enisa_euvdEU
prettier eslint-config-prettier≤ 9.1.1enisa_euvdEU
Сообщество свободного программного обеспечения eslint-config-prettier≤ 10.1.7fstec_bduRU
Сообщество свободного программного обеспечения eslint-config-prettier≤ 9.1.1fstec_bduRU
Сообщество свободного программного обеспечения eslint-config-prettier≤ 8.10.1fstec_bduRU
alexghr got-fetch= 5.1.1nvdUScpe:2.3:a:alexghr:got-fetch:*:*:*:*:*:*:*:*
alexghr got-fetch= 5.1.2nvdUScpe:2.3:a:alexghr:got-fetch:*:*:*:*:*:*:*:*
homarr homarr1.29.0 → 1.30.0nvdUScpe:2.3:a:homarr:homarr:*:*:*:*:*:*:*:*
prettier eslint-config-prettier= 10.1.6nvdUScpe:2.3:a:prettier:eslint-config-prettier:*:*:*:*:*:*:*:*
prettier eslint-config-prettier= 10.1.7nvdUScpe:2.3:a:prettier:eslint-config-prettier:*:*:*:*:*:*:*:*
prettier eslint-config-prettier= 8.10.1nvdUScpe:2.3:a:prettier:eslint-config-prettier:*:*:*:*:*:*:*:*
prettier eslint-config-prettier= 9.1.1nvdUScpe:2.3:a:prettier:eslint-config-prettier:*:*:*:*:*:*:*:*
prettier eslint-plugin-prettier= 4.2.2nvdUScpe:2.3:a:prettier:eslint-plugin-prettier:*:*:*:*:*:*:*:*
prettier eslint-plugin-prettier= 4.2.3nvdUScpe:2.3:a:prettier:eslint-plugin-prettier:*:*:*:*:*:*:*:*
un-ts napi-postinstall= 0.3.1nvdUScpe:2.3:a:un-ts:napi-postinstall:*:*:*:*:*:*:*:*
un-ts pkgr/core= 0.2.8nvdUScpe:2.3:a:un-ts:pkgr\/core:*:*:*:*:*:*:*:*
un-ts synckit= 0.11.9nvdUScpe:2.3:a:un-ts:synckit:*:*:*:*:*:*:*:*
npm @pkgr/core0.2.8 → 0.2.9osvUSpkg:npm/%40pkgr/core

20 von 27 angezeigt

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-f29h-pxvx-f335eslint-config-prettier, eslint-plugin-prettier, synckit, @pkgr/core, napi-postinstall have embedded malicious code2025-07-19ghsa · osvUS
eslint-config-prettier 8.10.1, 9.1.1, 10.1.6, and 10.1.7 has embedded malicious code for a supply chain compromise. Installing an affected package executes an install.js file that launches the node-gyp.dll malware on Windows.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu nvd osv NVD CVE.org MITRE

veröffentlicht 2025-07-19geändert 2026-08-07

Referenzen (25)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan