MAL-2026-18319 — pahatahtlik kood paketis @sxm-web/client-sdk-core (npm)

@sxm-web/client-sdk-core on kirjeldatud sõltuvussegaduse (dependency confusion) paketina ja „Compatibility shim’ina“. Selle versioonid sisaldavad postinstall-skripti, mis käivitab beacon.cjs-i npm-i installimise ajal; sama kood käivitatakse ka paketi importimisel. Beacon saadab hostinime, installitee, praeguse töökataloogi, Node.js-i versiooni ja paketi nime lihttekstina HTTP POST-päringuga aadressile http://185.158.107.175:8787/_ah/dc.